- Yama var
- Son 7 gün
- CWE-943
CVE-2026-114648
MongoDB C# Driver'da LINQ filtrelerinde NoSQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- mongodb
ÖzetTürkçe
MongoDB C# Driver, LINQ sorgularında kullanılan sözlük anahtarlarını, alan adlarını ve dizi filtresi tanımlayıcılarını sunucuya gönderdiği alan yollarına eklemeden önce, bu değerlerdeki nokta (.) ve dolar ($) karakterlerini etkisiz hale getirmez. Bu konumlara girdisi ulaşan bir uygulama kullanıcısı, bir sorguyu veya güncellemeyi uygulamanın belirtmediği alanlara yönlendirebilir; bu da diğer kullanıcıların belgelerinin ifşa olmasına ve güncellemelerin amaçlanan verinin ötesine genişlemesine yol açabilir. Belirli değerler ayrıca hatalı biçimlendirilmiş alanlar yazabilir ve bu da, onarılana kadar, depolanan belgelerin uygulama tarafından okunamaz hale gelmesine neden olabilir. Etkilenen sürümler >= 2.14.0, < 3.13.0 aralığındadır; sorun 3.13.0 sürümünde giderilmiştir. CVSS v3.1 vektörü: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H, CVSS puanı: 7.6 (YÜKSEK).
Kaynaktaki açıklama (İngilizce)
The MongoDB C# Driver does not neutralize dot and dollar characters in dictionary keys, field names and array-filter identifiers used in LINQ queries before placing them into the field paths it sends to the server. An application user whose input reaches these positions can redirect a query or update to fields the application did not name, which can expose other users' documents and widen updates beyond the intended data. Certain values can also write malformed fields that leave stored documents unreadable by the application until they are repaired.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MongoDB C# Driver | ≥ 2.14.0, < 3.13.0 | 3.13.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.