Ohne Passwort aus dem Internet erreichbare MongoDB-Server werden von Bots innerhalb weniger Stunden gefunden und gelöscht. Mit findOne(req.body) kann sich jeder über {"$ne": null} anmelden. Dieser Skill findet diese und sechs weitere MongoDB-Fehler vor dem Produktivstart und erklärt, wie du jeden davon behebst.

Dein Agent führt einen Scanner für mongod.conf (YAML oder das alte Format key = value), Docker-Compose-Dateien mit mongo- oder Bitnami-MongoDB-Images sowie Anwendungscode und Konfigurationen mit Verbindungszeichenfolgen und Abfragen aus. Er berücksichtigt, dass ${VARIABLE}-Werte, zur Laufzeit zusammengesetzte Passwörter und Platzhalter keine Geheimnisse sind, dass eine Passwortdatei oder env_file das Root-Passwort setzen kann, und erkennt sichere Abfragen (explizit benannte, in Strings umgewandelte Felder und Middleware zur Eingabebereinigung). Er verbindet sich niemals mit MongoDB. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Vorgehensweise. Passwörter werden niemals ausgegeben.

Was geprüft wird

BLOCKIEREND (vor der Auslieferung beheben)

• M01: ein über das Netzwerk erreichbarer Server ohne Authentifizierung

• M02: ein Passwort in einer Verbindungszeichenfolge oder Compose-Datei

• M03: eine vollständige Anfrage als Abfragefilter oder aus Anfragetext zusammengesetztes $where

PRÜFEN (vor der Veröffentlichung kontrollieren)

• M11: ein erreichbarer Server ohne TLS

• M12: deaktivierte Autorisierung (auch auf localhost)

• M13: unverändert in Abfragefiltern verwendete Anfragefelder

• M14: Port 27017 auf allen Netzwerkschnittstellen des Hosts veröffentlicht

• M15: deaktivierte Prüfungen von TLS-Zertifikaten oder Hostnamen

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und einer sichereren Vorgehensweise für jede Regel

• Beispielkonfigurationen, Compose- und Anwendungsdateien mit Risiken sowie sichere Varianten und der tatsächliche Scannerbericht zu den Beispielen mit Risiken

Grenzen

Der Scanner liest Dateien in ihrer vorliegenden Form: .env-Dateien, Benutzer und Rollen innerhalb der Datenbank, MongoDB-Atlas-Einstellungen und Firewalls werden nicht erfasst. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 16 Dateien: SKILL.md, der Scanner unter scripts/ (4 Python-Dateien), references/rules.md (jede Regel mit Begründung und einer sichereren Vorgehensweise) und examples/ (9 Beispieldateien plus report.md, die tatsächliche Scannerausgabe zum Beispiel mit Risiken).

So funktioniert es: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installationen. Sie lesen ausschließlich deine Dateien: kein Netzwerkzugriff, und es wird nichts irgendwohin gesendet.