CVE-2019-10758criticalbajo ataqueCWE-94

CVE-2019-10758: fallo crítico en mongo-express

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear mongo-express+ Monitorear mongo-express

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.9epss 85%
de la publicación al arma2 días
Publicada en NVD24 dic
1ª PoC+2d
CISA KEV+717d
Acción exigida por CISAplazo federal: 2022-06-10

Apply updates per vendor instructions.

En resumen

mongo-express en versiones anteriores a 0.54.0 permite que atacantes ejecuten código arbitrario en el servidor mediante el uso inadecuado del módulo vm. Un atacante puede enviar solicitudes manipuladas a endpoints vulnerables que usan el método toBSON para ejecutar comandos con privilegios del servidor.

Detalle técnico

Vulnerabilidad de Ejecución Remota de Código en mongo-express <0.54.0 que explota ejecución insegura de vm.Script en endpoints toBSON. El módulo vm se utiliza de forma impropia para evaluar entrada no confiable, permitiendo que un atacante no autenticado ejecute comandos arbitrarios del sistema con los privilegios del proceso mongo-express.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

mongo-express before 0.54.0 is vulnerable to Remote Code Execution via endpoints that uses the `toBSON` method. A misuse of the `vm` dependency to perform `exec` commands in a non-safe environment.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
n/a · mongo-express
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.