c137req/cve-2025-6713un pipeline d'agrégation conçu pour accéder aux données sans autorisation appropriée en raison d'une mauvaise gestion de $mergeCursors dans MongoDB >v8.0 <8.0.7, >v7.0 <7.0.19, >v6.0 <6.0.22
élaborer un pipeline d'agrégation pour accéder à des données sans autorisation appropriée en raison d'une gestion incorrecte de $mergeCursors dans MongoDB >v8.0 <8.0.7, >v7.0 <7.0.19, >v6.0 <6.0.22
pas très difficile - utilisez simplement pip3 pour installer les dépendances : pip install -r requirements
python3 CVE-2025-6713
ce qu'il faut faire pour le tester vous-même
Lignes 4, 5, 6, 7, 9, 10 :
mconnect = "mongodb://localhost:27017"
dbname = ""
acollection = ""
rcollection = ""
USERNAME = ""
PASSWORD = ""
vous pouvez :
changez mconnect pour votre propre URI mongo afin de vous connecter à votre base de données
changez dbname pour le nom de votre base de données (utilisez, modifiez ou forkez le dépôt pour qu'il teste plus d'1 base de données)
changez acollection pour une collection accessible publiquement (accessible)
changez rcollection pour une collection non accessible publiquement (restreinte)
je pense que USERNAME et PASSWORD sont du bon sens
Lignes 17 et 18 (dans setupTest(db), après [acollection].insert_many([...) :
{"name": "pubthing1", "data": "pub stuff"},
{"name": "pubthing2", "data": "pub stuff"}
ici, le script insère simplement des données de test dans la base de données (ça n'a PAS besoin d'être spécifique. ça peut littéralement être n'importe quoi)
Lignes 22 et 23 (dans setupTest(db), après [rcollection].insert_many([...) :
{"name": "secret", "stuff": "my national insurance number"},
{"name": "shhhh", "boo": "location of pringles in my house"}
ça peut aussi être littéralement n'importe quoi. amusez-vous bien.
le reste - ne modifiez pas à moins de savoir ce que vous faites, sinon vous vous retrouverez confus et en colère