CVE-2026-93758

Mongoid zawiera słabość niebezpiecznej refleksji w ścieżce zapytań dla dokumentów osadzonych. Aplikacja przekazująca zewnętrznie dostarczoną nazwę pola do niektórych metod zapytań w pamięci może pozwolić nieuwierzytelnionej stronie na nieautoryzowany odczyt danych i trwałe usunięcie rekordów.

Mongoid zawiera słabość niebezpiecznej refleksji w warstwie trwałości dokumentów. Przekazanie kluczy z danych wejściowych od nieuwierzytelnionej strony może spowodować niezamierzone wywołanie metod wewnętrznych zamiast aktualizacji pola tablicy, co może prowadzić do usunięcia przechowywanych rekordów i braku odpowiedzi aplikacji.

Mongoid może pomijać reguły szyfrowania dla pól zadeklarowanych w modelach osadzonych podczas generowania schematu szyfrowania na poziomie pól po stronie klienta. Aplikacje korzystające z tej funkcji mogą zapisywać wartości przeznaczone do zaszyfrowania w formie czytelnej, bez żadnego błędu ani ostrzeżenia.

Awaria mechanizmu ochrony podczas generowania konfiguracji szyfrowania w maperze obiektowo-dokumentowym może powodować, że pola zadeklarowane przez aplikację do szyfrowania na poziomie pól po stronie klienta są zapisywane i przechowywane w postaci jawnej, bez żadnego błędu ani ostrzeżenia.

W bibliotece Mongoid występuje problem z nieefektywną złożonością wyrażeń regularnych w komponencie oceny zapytań w pamięci, co może pozwolić nieuwierzytelnionej stronie na spowodowanie nadmiernego przetwarzania w procesie aplikacji osadzającej. Aplikacje, które umieszczają tekst dostarczony przez użytkownika w warunku zapytania opartym na dopasowaniu wzorca na osadzonej asocjacji, mogą stać się nieodpowiedzialne.

Mongoid nie ogranicza, które operatory zapytań mogą pochodzić z danych filtrów dostarczonych przez wywołującego, gdy aplikacja przekazuje te dane do metod budujących zapytania. W aplikacji, która przekazuje zewnętrznie dostarczane parametry filtrów w ten sposób, osoba bez poświadczeń może wpływać na sposób oceny zapytania przez bazę danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól oraz do zmniejszenia wydajności bazy danych.

Mongoid nie neutralizuje kryterium zapytania typu string dostarczonego do jego konstruktora zapytań i przekazuje je do bazy danych jako wyrażenie JavaScript po stronie serwera. Nieuwierzytelniona strona, która może wpływać na wartość przekazywaną przez aplikację jako argument zapytania, może spowodować, że kod wybrany przez atakującego zostanie oceniony przez silnik bazy danych. Może to prowadzić do niezamierzonego ujawnienia przechowywanych wartości pól, niezamierzonego wyboru dokumentów dla zapisów inicjowanych przez aplikację oraz zmniejszenia wydajności bazy danych.