🇰🇷 한글 설명
MongoDB C# 드라이버가 LINQ 쿼리에 사용되는 딕셔너리 키, 필드 이름, 배열 필터 식별자 내의 점(.) 및 달러($) 문자를 중립화하지 못하는 취약점입니다. 공격자가 입력값을 조작하여 쿼리나 업데이트 대상을 의도하지 않은 필드로 리다이렉션할 수 있으며, 이로 인해 타 사용자의 문서가 노출되거나 데이터가 잘못된 형식으로 저장될 수 있습니다.
💡 쉬운 설명
프로그램이 사용자의 입력을 검사하지 않고 데이터베이스 명령어로 바로 사용하면서 발생하는 문제입니다. 해커가 특수 문자를 섞어 넣으면 데이터베이스의 엉뚱한 정보를 훔쳐보거나 데이터를 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
The MongoDB C# Driver does not neutralize dot and dollar characters in dictionary keys, field names and array-filter identifiers used in LINQ queries before placing them into the field paths it sends to the server. An application user whose input reaches these positions can redirect a query or update to fields the application did not name, which can expose other users' documents and widen updates beyond the intended data. Certain values can also write malformed fields that leave stored documents unreadable by the application until they are repaired.
📍 영향받는 시스템
MongoDB C# Driver (LINQ 쿼리를 사용하는 환경)
⚔️ 공격 벡터
LINQ 쿼리의 필드 경로로 사용되는 입력값에 점(.) 또는 달러($) 문자를 삽입하여 쿼리 구조를 조작
🛡️ 대응 방법
MongoDB C# Driver를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자 입력값에 대한 검증 로직을 강화하십시오.
🔧 검증 코드
출력된 MongoDB.Driver의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조하십시오.
dotnet list package | grep MongoDB.Driver