Veille sécuritéBackend & données
P4Faible
Le fournisseur MongoDB Entity Framework Core ne neutralise pas certains éléments spéciaux des valeurs de SetProperty lorsque ExecuteUpdate contient aussi un setter lisant l’entité. Une chaîne contrôlée commençant par $ peut alors être évaluée comme une expression, ce qui permet de modifier, supprimer ou remplacer par d’autres champs des valeurs de l’enregistrement mis à jour.
MongoDB
IdentifiantCVE-2026-120567
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120567
Analyse technique
L’exploitation dépend de l’influence possible d’un appelant sur la valeur passée à SetProperty et de la forme de l’appel ExecuteUpdate.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-03, pendant la période retenue.
ImpactModification ou suppression non prévue de champs, ou copie d’autres champs de l’enregistrement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-11-03T20:18:12.137Z
Mise à jour2026-11-04T17:17:35.210Z
Sources
Priorisation DFS : P4 · 1 source(s).