EF Core provider: pipeline-form ExecuteUpdate evaluates a user string setter as a $-field reference

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

The MongoDB Entity Framework Core provider does not neutralize special elements in values passed to SetProperty when an ExecuteUpdate call also contains a setter that reads the entity being updated. In that case the update is sent as an aggregation pipeline, and a caller-supplied string beginning with $ is evaluated as an expression rather than stored as data. A party who can influence such a value may modify or remove fields in the records being updated, or copy other fields of the same record into them.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• jira.mongodb.org/browse/EF-478 Diğer

Kayıt geçmişi

1. 4 Kas 2026 19:40Açıklama güncellendi
2. 3 Kas 2026 22:36Yayımlandı

İlgili açıklar

• 7,6 CVE-2026-63489Yeti platformunda arama sıralama ve filtre alanlarında AQL enjeksiyonu
• 9,8 CVE-2026-120201Jpom'da JPOM-USER-TOKEN başlığı üzerinden kimlik doğrulamasının atlatılması
• 8,7 CVE-2026-118645n8n Quick Base düğümünde Where parametresi üzerinden filtre enjeksiyonu
• 7,5 CVE-2026-118641n8n Outlook ve SharePoint düğümlerinde OData $filter enjeksiyonu
• 6,5 CVE-2026-118581NoSQL injection via mismatched BSON size prefix in raw document splice to the wire protocol
• 6,5 CVE-2026-55369Waline login accepts a non-string email as a match-all MongoDB query