VULNERABILIDADDetectada 03 NOV · 18:06

CVE-2026-120673 Exposición de texto plano CSFLE en db.query.text del driver Rust de MongoDB

Un componente del driver Rust de MongoDB que registra datos de trazabilidad puede capturar el contenido de comandos antes de aplicar el cifrado automático de campos del lado del cliente. En implementaciones con la capacidad de trazabilidad habilitada junto con el cifrado automático en uso, quien tenga acceso de lectura a los datos de traza exportados puede obtener valores de campos que la aplicación designó para cifrado, sin acceso a las claves. Esto puede provocar la divulgación no intencional de datos.

5.5MEDIA

CVSS 3.1

CVSS 4.06.8 · media
Probabilidad de explotación · EPSS del 09/110,1 % · percentil 0
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

MongoDB Rust Driver
desde 3.4.0 hasta antes de 3.9.1

Qué hacer

Verificá si usás Rust Driver y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.5 MEDIA

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueLocal
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

CVSS 4.0 · 6.8 MEDIA

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de ataqueLocal
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

A component of the MongoDB Rust Driver that records diagnostic tracing data can capture command content before automatic client-side field level encryption is applied. In deployments that turn on the optional tracing capability together with automatic in-use encryption, a party with read access to the application's exported trace data may obtain field values that the application designated for encryption, without access to the encryption keys. This may result in unintended disclosure of data.

Referencias (1)

jira.mongodb.org/browse/RUST-2525

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.