CVE-2025-6713
MongoDB Server में $mergeCursors स्टेज के कारण विशेषाधिकार वृद्धि की आशंका हो सकती है
- प्रकाशित
- 7 जुल॰ 2025
- अद्यतन
- 18 जुल॰ 2025
- सीएनए असाइन करना
- mongodb
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 34.6%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
एक अनधिकृत उपयोगकर्ता, MongoDB Server में `$mergeCursors` चरण के अनुचित प्रबंधन के कारण, बिना उचित प्राधिकरण के डेटा तक पहुंचने के लिए एक विशेष रूप से तैयार किए गए एग्रीगेशन पाइपलाइन का लाभ उठा सकता है। इससे आगे के प्राधिकरण के बिना डेटा तक पहुंच हो सकती है। यह समस्या MongoDB Server v8.0 के 8.0.7 से पहले के संस्करणों, MongoDB Server v7.0 के 7.0.19 से पहले के संस्करणों और MongoDB Server v6.0 के 6.0.22 से पहले के संस्करणों को प्रभावित करती है।
स्रोत
MongoDB >v8.0 <8.0.7, >v7.0 <7.0.19, >v6.0 <6.0.22 में $mergeCursors के अनुचित हैंडलिंग के कारण उचित प्राधिकरण के बिना डेटा तक पहुँचने के लिए एग्रीगेशन पाइपलाइन तैयार करें।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।