JVNDB-2026-036020

MongoDB Inc.のMongoDB C# Driverにおけるデータクエリロジックの特殊要素の不適切な中立化に関する脆弱性

MongoDB の C# ドライバーにおけるドキュメント置換コードパスは、同等の書き込みパスが適用する要素名および形状の検証を省略しているため、置換として提供された値がクエリ言語の特殊要素を無害化せずにサーバーに転送してしまいます。そのため、信頼されていない型の緩い入力を置換値として渡すアプリケーションでは、その入力がデータとしてではなくアップデートロジックとしてデータベースに解釈され、アプリケーション自身のデータベース認証情報の下で実行される可能性があります。強く型付けされたドキュメントマッピングを使用しているアプリケーションには影響が及びません。

MongoDB Inc.

• MongoDB C# Driver 2.10.0 以上 3.11.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

MongoDB Inc.

• JIRA : [CSHARP-6158] NoSQL injection via array replacement bypassing update shape validation in driver write path - MongoDB Jira

1. データクエリロジックの特殊要素の不適切な中立化(CWE-943) [その他]

1. CVE-2026-81528

1. National Vulnerability Database (NVD) : CVE-2026-81528
2. 関連文書 : NuGet Gallery        | MongoDB.Driver 3.11.1

• [2026年09月30日]
    掲載