Veille sécuritéBackend & données
P4Moyenne
mongofiles peut utiliser le nom de fichier GridFS stocké en base comme destination de sortie de get_id lorsque –local n’est pas précisé. Un utilisateur pouvant modifier les métadonnées peut choisir le nom « – » et, si un opérateur récupère ensuite le fichier dans ces conditions, son contenu peut être envoyé sur la sortie standard et exposé si celle-ci est capturée dans un emplacement accessible à cet utilisateur.
MongoDB
IdentifiantCVE-2026-119672
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif100.20.1
Source : NVD — CVE-2026-119672
Analyse technique
L’exploitation nécessite également qu’un opérateur autorisé récupère le fichier sans destination locale explicite et que l’attaquant puisse accéder à la sortie capturée.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-03; l’entrée fournie indique aussi une mise à jour ce jour-là, sans détail permettant d’isoler un changement distinct.
ImpactDivulgation possible du contenu d’un fichier GridFS à un utilisateur ne pouvant pas le lire directement.
Versions affectéesMongoDB Database Tools 3.1.4 à toute version antérieure à 100.20.1.
Version corrigée100.20.1
ContournementPréciser une destination locale explicite lors de la récupération.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-03T17:18:06.640Z
Mise à jour2026-11-03T20:00:56.300Z
Action recommandée
Mettre à jour MongoDB Database Tools vers une version corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).