CVE-2016-10533
Publiée le 2018-05-31 · Dernière modification le 2026-06-17
Les applications utilisant le module `express-restify-mongoose` pour créer des interfaces REST pour MongoDB sont concernées. Un attaquant authentifié peut contourner les paramètres de confidentialité en utilisant des paramètres de requête spécifiques afin de divulguer des données privées et sensibles — telles que les mots de passe des utilisateurs — depuis la base de données. Cette action est facile à exécuter via un réseau et ne nécessite qu'un compte utilisateur standard pour être réalisée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
express-restify-mongoose is a module to easily create a flexible REST interface for mongoose models. express-restify-mongoose 2.4.2 and earlier and 3.0.X through 3.0.1 allows a malicious user to send a request for `GET /User?distinct=password` and get all the passwords for all the users in the database, despite the field being set to private. This can be used for other private data if the malicious user knew what was set as private for specific routes.