Боты находят и очищают доступные из интернета серверы MongoDB без пароля за считаные часы, а findOne(req.body) позволяет любому войти с {"$ne": null}. Этот навык выявляет эти и ещё шесть ошибок MongoDB до запуска и объясняет, как исправить каждую из них.

Ваш агент запускает сканер для mongod.conf (YAML или старый формат key = value), файлов Docker Compose с образами mongo или Bitnami MongoDB, а также кода и конфигурации приложения со строками подключения и запросами. Сканер учитывает, что значения ${VARIABLE}, пароли, формируемые во время выполнения, и заполнители не являются секретами, что пароль root может задаваться через файл пароля или env_file, и распознаёт безопасные запросы (явно указанные поля с приведением к строке, промежуточное ПО для очистки данных). Он никогда не подключается к MongoDB. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного решения. Пароли никогда не выводятся.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• M01: доступный по сети сервер без аутентификации

• M02: пароль в строке подключения или файле Compose

• M03: весь запрос используется как фильтр запроса к БД либо $where формируется из текста запроса

ПРОВЕРКА (проверить до выпуска)

• M11: доступный сервер без TLS

• M12: отключённая авторизация (даже на localhost)

• M13: поля запроса используются в фильтрах запросов к БД без обработки

• M14: порт 27017 опубликован на всех сетевых интерфейсах хоста

• M15: отключена проверка TLS-сертификата или имени хоста

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с объяснением причин и более безопасным решением для каждого правила

• Примеры конфигурации, файлов Compose и приложения с рисками и безопасные варианты, а также реальный отчёт сканера по примерам с рисками

Ограничения

Сканер читает файлы в их текущем виде: он не видит файлы .env, пользователей и роли внутри базы данных, настройки MongoDB Atlas и межсетевые экраны. Статус NOT FLAGGED не даёт гарантий.

Содержимое

Один ZIP-архив с 16 файлами: SKILL.md, сканер в scripts/ (4 файла Python), references/rules.md (каждое правило с объяснением причин и более безопасным решением) и examples/ (9 файлов примеров плюс report.md, реальный отчёт сканера по примеру с рисками).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты также можно запускать отдельно с Python 3.9 или новее, ничего дополнительно устанавливать не нужно. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.