したがって、ALAS2023-2026-3121 のアドバイザリに記載されている脆弱性の影響を受けます。

    MongoDB PythonドライバーのGridFSコンポーネントのデータクエリロジックの特殊な要素の不適切な中和化により、呼び出し元指定の構造化ファイル識別子が、リテラル識別子としてではなくクエリ条件として解釈される可能性があります。影響を受けるアプリケーションが渡す識別子に影響を与えることができる認証されたユーザーが、意図されるターゲットを超えて保存されたファイルコンテンツを取得したり、影響を受けるバケット内のすべてのGridFSファイルチャンクを削除して、保存されたファイルコンテンツを読み取り不能にする可能性があります。影響を受ける名前変更操作により、保存されたファイルの名前が意図したターゲットとは異なって変更される可能性もあります。(CVE-2026-88029)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : python3-bson、python3-pymongo、python3-pymongo-gridfs (ALAS2023-2026-3121)

medium Nessus プラグイン ID 351033

バージョン 1.1