NoSQL Injection: MarsDB

動的な NoSQL ステートメントの構築に信頼されていないソースからの入力を使用すると、攻撃者によるステートメントの改変や任意の NoSQL コマンドの実行が可能になります。

NoSQL インジェクション エラーは、ユーザー入力が不適切にサニタイズされ、データベース クエリに直接組み込まれた場合に発生し、攻撃者がクエリ ロジックを不正に操作してデータにアクセスできるようになります。これは、$where、$gt、$lt、$ne などの演算子で発生する可能性があります。このような攻撃を防止するためには、可能な限りユーザー入力でこれらの演算子を使用しないようにし、ユーザー入力の適切な検証とサニタイズを常に確実に行うようにしてください。

例 1: 次のコードは、指定された名前に一致するアイテムを検索する NoSQL クエリを動的に構築し、実行します。このクエリでは、認証済みユーザーのユーザー名と所有者が一致するアイテムだけが表示されます。

    ...
    function getItemsByOwner(username: string) {
      db.items.find({ $where: `this.owner === '${username}'` }).then((orders: any) => {
        console.log(orders);
      }).catch((err: any) => {
        console.error(err);
      });
    }
    ...

「username」が「john」で、true を返し、//` の場合、クエリは次のようになります。

    db.items.find({ $where: `this.owner === 'john'; return true; //` })

これは、アイテム コレクション内のすべてのドキュメントを返します。