MongoDB mongo-express Remote Code Execution Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 10/12/2021. Hãy vá các hệ thống bị ảnh hưởng ngay.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|---|---|
| mongo-express | < 0.54.0 | 0.54.0 |
| mongo-express | < 0.54.0 | 0.54.0 |
Remote code execution on the host machine by any authenticated user.
Launching mongo-express on a Mac, pasting the following into the "create index" field will pop open the Mac calculator:
this.constructor.constructor("return process")().mainModule.require('child_process').execSync('/Applications/Calculator.app/Contents/MacOS/Calculator')
Users should upgrade to version 0.54.0
Is there a way for users to fix or remediate the vulnerability without upgrading?
If you have any questions or comments about this advisory:
@JLLeitschuh for finding and reporting this vulnerability
This vulnerability has been exploited in the wild.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí