Laravel MongoDBで認可チェックを回避され文書の閲覧・変更・削除をされる脆弱性
Summary
Laravel MongoDBでは、関連レコードの不存在を確認する条件が誤った型の識別子でコンパイルされることがあり、一般権限のユーザーが本来見せないはずの文書を閲覧・変更・削除できるおそれがあります。エラーは出ず、気づきにくい点に注意が必要です。影響を受けるのは3.2.3以降5.12.0未満で、5.12.0に修正版が公開されています。CVSS v3.1のスコアは8.8で、5.12.0以上へ更新することをおすすめします。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Laravel MongoDBでは、関連レコードの不存在を確認する条件が誤った型の識別子でコンパイルされることがあり、一般権限のユーザーが本来見せないはずの文書を閲覧・変更・削除できるおそれがあります。エラーは出ず、気づきにくい点に注意が必要です。影響を受けるのは3.2.3以降5.12.0未満で、5.12.0に修正版が公開されています。CVSS v3.1のスコアは8.8で、5.12.0以上へ更新することをおすすめします。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| MongoDB | Laravel MongoDB |
≥ 3.2.3, < 5.12.0 |
5.12.0 |
Original description The description as published by the source.
A type-handling flaw in the relationship query building of this MongoDB integration library can cause a check for the absence of a related record to be compiled with an identifier of the wrong data type. In an application that relies on such a check to decide which documents a request may see or act on, a user with basic privileges may be served, may change, or may remove documents that the check was intended to withhold. The failure is silent and produces no error.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web cna@mongodb.com
- web cna@mongodb.com