FICHE CVE
CVE-2026-2302
Publiée le 2026-02-10 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Les applications utilisant l'ODM Mongoid pour MongoDB sont concernées si elles traitent des hachages fournis par l'utilisateur. Un attaquant disposant de privilèges de compte de bas niveau peut exécuter du code Ruby arbitraire sur votre serveur, à condition de convaincre un administrateur ou un autre utilisateur de déclencher la requête spécifique. Il s'agit d'une attaque réseau qui nécessite à la fois une authentification et une interaction de l'utilisateur pour réussir.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaqueAucun
Privilèges requisFaibles
Interaction utilisateurPassive
Confidentialité (système vulnérable)Aucune
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Aucune
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune
RÉFÉRENCES
Description officielle du NVD (en anglais)
Under specific conditions when processing a maliciously crafted value of type Hash r, Mongoid::Criteria.from_hash may allow for executing arbitrary Ruby code.