Veille sécuritéBackend & données
P4Faible
mongofiles ne résout pas les liens symboliques des répertoires parents lors de la validation des chemins de sortie pour get_regex. Un utilisateur non autorisé pouvant téléverser un fichier GridFS et placer un lien symbolique dans le répertoire de téléchargement de l’opérateur peut faire créer, lors d’une récupération ultérieure, un fichier contenant ses données hors de ce répertoire.
MongoDB
IdentifiantCVE-2026-119673
GravitéFaible
Exploitationnon connue / non déterminée
Correctif100.20.1
Source : NVD — CVE-2026-119673
Analyse technique
Le scénario nécessite que l’opérateur récupère les fichiers correspondants depuis le répertoire concerné. Le comportement par défaut décrit crée un nouveau fichier plutôt que d’écraser un fichier existant.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-03; l’entrée fournie indique aussi une mise à jour ce jour-là, sans détail permettant d’isoler un changement distinct.
ImpactCréation de fichiers contrôlés par un utilisateur non autorisé hors du répertoire prévu, avec les permissions du processus opérateur.
Versions affectéesMongoDB Database Tools 100.2.0 à toute version antérieure à 100.20.1.
Version corrigée100.20.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS1
Publication2026-11-03T17:18:06.803Z
Mise à jour2026-11-03T20:00:56.300Z
Action recommandée
Mettre à jour MongoDB Database Tools vers une version corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).