一、概要

近日，华为云关注到mongo-express官方发布安全公告，在mongo-express < 0.54.0的版本中存在一个远程代码执行漏洞（CVE-2019-10758）。mongo-express是一款用于交互式管理MongoDB数据库的、基于Web的轻量级管理界面。使用受影响的版本，当攻击者在认证通过后，构造恶意请求可实现远程代码执行，结合mongo-express 存在默认的账号密码，很容易遭到黑客攻击，风险高。

华为云提醒mongo-express用户及时安排自检并做好安全加固。

参考链接：

https://github.com/mongo-express/mongo-express/security/advisories/GHSA-h47j-hc6x-h3qq

https://github.com/masahiro331/CVE-2019-10758/

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急）

三、漏洞影响范围

影响版本：

mongo-express < 0.54.0

安全版本：

mongo-express >= 0.54.0

四、漏洞处置

目前mongo-express官方已在0.54.0版本中修复了该漏洞，建议受影响的用户升级至0.54.0 或更高的安全版本，同时设置强口令，避免未授权访问或弱密码访问的安全风险。

Mongo-express GitHub地址：https://github.com/mongo-express/mongo-express

注：修复漏洞前请将资料备份，并进行充分测试。