mongo-express远程代码执行缝隙风险公告

颁布功夫 2020-01-03

缝隙编号和级别


CVE编号：CVE-2019-10758，，，， ， ，危险级别：严沉，，，， ， ，CVSS分值：9.9


影响版本


mongo-express 0.54.0之前版本


缝隙概述


mongo-express是一款用于交互式治理MongoDB数据库的、基于Web的轻量级治理界面。。 。。。。


mongo-express 0.54.0之前的版本，，，， ， ，通过认证后，，，， ， ，在终端使用‘toBSON’步骤，，，， ， ，能够执行远程号令，，，， ， ，而 mongo-express 默认的账号密码是 admin:pass 。。 。。。。


缝隙验证


POC：https://github.com/masahiro331/CVE-2019-10758。。 。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙，，，， ， ，详情请关注厂商主页：https://github.com/mongo-express。。 。。。。升级到最新版，，，， ， ，在config.js文件中配置强口令，，，， ， ，设置受信赖的接见源。。 。。。。


参考链接


https://snyk.io/vuln/SNYK-JS-MONGOEXPRESS-473215