ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات واختيار البيانات لإنشاء مخططات. قبل الإصدار 5.2.3، تم إدراج متغير MongoDB من نوع تاريخ موضوع داخل عنصر نائب للاستعلام مُحاط بعلامات اقتباس كسلسلة غير مفلطحة (unescaped)، على عكس فروع السلسلة والرقم والقيم البنكية (Boolean) المُفلطحة أو المُجبرة بأمان. سطح الثغرة هو المخططات العامة أو القابلة للمشاركة أو المضمنة المدعومة بقاعدة بيانات MongoDB والتي تتم معالجتها بواسطة استبدال متغير التاريخ. يقدم مستخدم دون مصادقة عامل تصفية عنوان URL مُعد خصيصًا لمخطط MongoDB عام أو قابل للمشاركة أو ضمني والذي يضع استعلامه متغيرًا من نوع تاريخ في حرفية مُحاطة بعلامات اقتباس. قيمة التاريخ المُعدة تكسر الحرفية المُحاطة بعلامات اقتباس وتغير منطق الاستعلام؛ يصبح عدد الصفوف المُرجعة للمخطط بمثابة مرجع (oracle) منطقي لاستخراج الحقول حرفًا بحرف. يجب أن يكون المخطط قابلاً للوصول من الخارج وأن يستخدم فرع التاريخ في العنصر النائب المُحاط بعلامات اقتباس المعرض للخطر. يكون الاستخراج للقراءة فقط ومقتصرًا على مجموعة واحدة يتم الاستعلام عنها لكل طلب، ولا يتطلب حسابًا ولا قيمة حقل معروفة. يمكن للمرجع الأعمى كشف أي حقل في المجموعة التي يتم الاستعلام عنها، بما في ذلك الأسرار التي لا يعرضها المخطط. تم إصلاح هذه المشكلة في الإصدار 5.2.3.