Проблема в структуре агрегации сервера MongoDB может позволить аутентифицированному пользователю с правами только на чтение выполнять операции записи в коллекциях, которые он не должен иметь возможность изменять. Это связано с тем, что стадия агрегации внутреннего использования доступна внешним клиентам без соответствующей проверки авторизации для ее встроенных операций.
Показать оригинальное описание (EN)
An issue in MongoDB Server's aggregation framework could allow an authenticated user with only read privileges to perform write operations against collections they should not be able to modify. This is due to an internal-use aggregation stage being reachable by external clients without an appropriate authorization check on its embedded operations.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0