Prompt file imported from ergrato-dev/bc-mongodb-ce (.github/prompts/security-review.prompt.md). Fill in {{userPrice}} before use. Copyright stays with the author.

Security Review — OWASP Top 10 para MongoDB CE

Name: Security review
Author: ergrato-dev

Revisa el código indicado aplicando los 10 riesgos de seguridad más críticos según OWASP, adaptados al stack del bootcamp (MongoDB 7.0, Node.js, mongosh).

OWASP A01 — Broken Access Control

Riesgos en MongoDB:

Usuarios con rol root o dbAdmin donde solo se necesita readWrite
Colecciones sin autenticación habilitada en el contenedor
Rutas de API (si hay Node.js) sin verificación de permisos antes de operar

Checklist:

¿Los scripts usan el usuario bootcamp con readWrite (no root)?
¿El contenedor Docker tiene --auth habilitado?
¿No hay operaciones db.dropDatabase() accesibles sin rol explícito?
¿Los archivos .env no se commitean al repositorio?

Ejemplo de corrección:

// ❌ Conectar como root en scripts de ejercicios
mongosh -u root -p rootpassword --authenticationDatabase admin

// ✅ Usar usuario con mínimos privilegios
mongosh -u bootcamp -p bootcamp123 --authenticationDatabase admin bootcamp_db

OWASP A02 — Cryptographic Failures

Riesgos en MongoDB:

Contraseñas almacenadas en texto plano en documentos
Secretos hardcodeados en scripts .js o en docker-compose.yml
Credenciales reales en .env.example (en lugar de placeholders)

Checklist:

¿Los documentos de prueba usan passwordHash (nunca password en plano)?
¿El docker-compose.yml usa variables de entorno desde .env?
¿El .env.example tiene solo placeholders (no valores reales)?
¿El .env está en .gitignore?

Ejemplo de corrección:

// ❌ Contraseña en texto plano
db.users.insertOne({ email: "user@example.com", password: "secret123" });

// ✅ Hash de contraseña (bcrypt en producción)
db.users.insertOne({ email: "user@example.com", passwordHash: "$2b$10$..." });

OWASP A03 — Injection

Riesgos en MongoDB:

Construcción de queries con concatenación de strings (NoSQL Injection)
Uso de $where con input del usuario (ejecución de JavaScript del servidor)
Uso de mapReduce con código generado dinámicamente

Checklist:

¿No hay queries construidas con concatenación de strings?
¿Se evita $where con datos del usuario?
¿Los filtros de ejemplo usan valores literales, no variables sin sanitizar?
¿En código Node.js, los inputs se validan antes de pasarlos a queries?

Ejemplo de corrección:

// ❌ NoSQL Injection — input del usuario concatenado
const userInput = '{ $gt: "" }'; // input malicioso
db.users.find({ password: JSON.parse(userInput) }); // bypass de auth

// ✅ Validar tipo y usar valores literales
db.users.find({ email: "user@example.com" });

// ❌ $where con input del usuario
db.products.find({ $where: `this.price > {{userPrice}}` });

// ✅ Usar operadores nativos
db.products.find({ price: { $gt: NumberInt(100) } });

OWASP A04 — Insecure Design

Riesgos en MongoDB:

Sin paginación en consultas a colecciones grandes (exfiltración de datos)
Pipelines que exponen campos sensibles sin proyección
Colecciones sin índices en campos de consulta frecuente (DoS por COLLSCAN)

Checklist:

¿Las queries de ejemplo incluyen .limit() o $limit cuando aplica?
¿Las proyecciones excluyen campos sensibles (passwordHash, tokens)?
¿Las colecciones de datos de prueba tienen índices en campos de búsqueda?

OWASP A05 — Security Misconfiguration

Riesgos en MongoDB:

Puerto 27017 expuesto a internet sin autenticación
mongod corriendo sin --auth en la configuración
Binds a 0.0.0.0 sin firewall en entornos distintos al local

Checklist:

¿El docker-compose.yml expone el puerto solo a 127.0.0.1?
¿Está habilitada la autenticación en el contenedor?
¿No hay configuración bindIp: 0.0.0.0 sin protección adicional?

Ejemplo de corrección:

# ❌ Puerto expuesto a todas las interfaces
ports:
  - "27017:27017"

# ✅ Solo accesible desde localhost
ports:
  - "127.0.0.1:27017:27017"

OWASP A06 — Vulnerable and Outdated Components

Riesgos en MongoDB:

Imagen Docker de MongoDB sin versión fija (usando latest)
Drivers de Node.js con CVEs conocidos
Versiones flotantes en package.json de proyectos starter

Checklist:

¿El docker-compose.yml usa mongo:7.0 (no mongo:latest)?
¿Los package.json de starter/solution usan versiones exactas (sin ^, ~)?
¿pnpm audit --audit-level moderate pasa sin vulnerabilidades?

OWASP A07 — Identification and Authentication Failures

Riesgos en MongoDB:

Credenciales por defecto sin cambiar en producción
Sin roles RBAC definidos para usuarios de aplicación
Acceso como admin desde la aplicación cuando solo se necesita readWrite

Checklist:

¿Las credenciales de desarrollo (bootcamp/bootcamp123) están claramente marcadas como solo para entorno local?
¿Los scripts de producción (si los hay) usan variables de entorno?
¿No hay usuarios creados sin contraseña?

OWASP A08 — Software and Data Integrity Failures

Riesgos en MongoDB:

$jsonSchema ausente en colecciones que lo requieren
Sin validación de tipos BSON en inserciones masivas
CI/CD que despliega sin revisar the integridad de scripts

Checklist:

¿Las colecciones importantes tienen validación $jsonSchema?
¿Los setup.js usan tipos BSON correctos (Decimal128, NumberInt, new Date())?
¿El pipeline de CI incluye verificación de sintaxis de scripts?

OWASP A09 — Security Logging and Monitoring Failures

Riesgos en MongoDB:

Sin logs de operaciones de autenticación fallidas
Logs con datos sensibles (contraseñas, tokens en queries)
Sin monitorización de operaciones lentas (slow query log)

Checklist:

¿El docker-compose.yml habilita el slow query log (--slowms)?
¿Los scripts de ejemplo no loguean valores sensibles con print()?

OWASP A10 — Server-Side Request Forgery (SSRF)

Riesgos en MongoDB:

Change Streams o webhooks que aceptan URLs externas sin validación
Atlas Data Federation con fuentes de datos no validadas

Checklist:

¿Los ejemplos de Change Streams no exponen endpoints sin autenticación?
¿No hay ejemplos que hagan fetch a URLs proporcionadas por el usuario?

Instrucciones para el agente

Leer todos los archivos en la ruta indicada
Para cada riesgo OWASP, verificar los ítems del checklist
Reportar los problemas encontrados con:
- Archivo y línea donde ocurre
- Descripción del riesgo
- Código actual problemático
- Código corregido sugerido
Si no hay problemas en un área, indicar "✅ Sin problemas detectados"
Ordenar por severidad: Alto → Medio → Bajo
Al final, dar un resumen ejecutivo con el número de issues por categoría

Ruta a revisar

$input

# Security Review — OWASP Top 10 para MongoDB CE Revisa el código indicado aplicando los 10 riesgos de seguridad más críticos según OWASP, adaptados al stack del bootcamp (MongoDB 7.0, Node.js, mongosh). ## OWASP A01 — Broken Access Control **Riesgos en MongoDB:** - Usuarios con rol `root` o `dbAdmin` donde solo se necesita `readWrite` - Colecciones sin autenticación habilitada en el contenedor - Rutas de API (si hay Node.js) sin verificación de permisos antes de operar **Checklist:** - [ ] ¿Los scripts usan el usuario `bootcamp` con `readWrite` (no `root`)? - [ ] ¿El contenedor Docker tiene `--auth` habilitado? - [ ] ¿No hay operaciones `db.dropDatabase()` accesibles sin rol explícito? - [ ] ¿Los archivos `.env` no se commitean al repositorio? **Ejemplo de corrección:** ```js // ❌ Conectar como root en scripts de ejercicios mongosh -u root -p rootpassword --authenticationDatabase admin // ✅ Usar usuario con mínimos privilegios mongosh -u bootcamp -p bootcamp123 --authenticationDatabase admin bootcamp_db ``` --- ## OWASP A02 — Cryptographic Failures **Riesgos en MongoDB:** - Contraseñas almacenadas en texto plano en documentos - Secretos hardcodeados en scripts `.js` o en `docker-compose.yml` - Credenciales reales en `.env.example` (en lugar de placeholders) **Checklist:** - [ ] ¿Los documentos de prueba usan `passwordHash` (nunca `password` en plano)? - [ ] ¿El `docker-compose.yml` usa variables de entorno desde `.env`? - [ ] ¿El `.env.example` tiene solo placeholders (no valores reales)? - [ ] ¿El `.env` está en `.gitignore`? **Ejemplo de corrección:** ```js // ❌ Contraseña en texto plano db.users.insertOne({ email: "user@example.com", password: "secret123" }); // ✅ Hash de contraseña (bcrypt en producción) db.users.insertOne({ email: "user@example.com", passwordHash: "$2b$10$..." }); ``` --- ## OWASP A03 — Injection **Riesgos en MongoDB:** - Construcción de queries con concatenación de strings (NoSQL Injection) - Uso de `$where` con input del usuario (ejecución de JavaScript del servidor) - Uso de `mapReduce` con código generado dinámicamente **Checklist:** - [ ] ¿No hay queries construidas con concatenación de strings? - [ ] ¿Se evita `$where` con datos del usuario? - [ ] ¿Los filtros de ejemplo usan valores literales, no variables sin sanitizar? - [ ] ¿En código Node.js, los inputs se validan antes de pasarlos a queries? **Ejemplo de corrección:** ```js // ❌ NoSQL Injection — input del usuario concatenado const userInput = '{ $gt: "" }'; // input malicioso db.users.find({ password: JSON.parse(userInput) }); // bypass de auth // ✅ Validar tipo y usar valores literales db.users.find({ email: "user@example.com" }); // ❌ $where con input del usuario db.products.find({ $where: `this.price > {{userPrice}}` }); // ✅ Usar operadores nativos db.products.find({ price: { $gt: NumberInt(100) } }); ``` --- ## OWASP A04 — Insecure Design **Riesgos en MongoDB:** - Sin paginación en consultas a colecciones grandes (exfiltración de datos) - Pipelines que exponen campos sensibles sin proyección - Colecciones sin índices en campos de consulta frecuente (DoS por COLLSCAN) **Checklist:** - [ ] ¿Las queries de ejemplo incluyen `.limit()` o `$limit` cuando aplica? - [ ] ¿Las proyecciones excluyen campos sensibles (`passwordHash`, tokens)? - [ ] ¿Las colecciones de datos de prueba tienen índices en campos de búsqueda? --- ## OWASP A05 — Security Misconfiguration **Riesgos en MongoDB:** - Puerto 27017 expuesto a internet sin autenticación - `mongod` corriendo sin `--auth` en la configuración - Binds a `0.0.0.0` sin firewall en entornos distintos al local **Checklist:** - [ ] ¿El `docker-compose.yml` expone el puerto solo a `127.0.0.1`? - [ ] ¿Está habilitada la autenticación en el contenedor? - [ ] ¿No hay configuración `bindIp: 0.0.0.0` sin protección adicional? **Ejemplo de corrección:** ```yaml # ❌ Puerto expuesto a todas las interfaces ports: - "27017:27017" # ✅ Solo accesible desde localhost ports: - "127.0.0.1:27017:27017" ``` --- ## OWASP A06 — Vulnerable and Outdated Components **Riesgos en MongoDB:** - Imagen Docker de MongoDB sin versión fija (usando `latest`) - Drivers de Node.js con CVEs conocidos - Versiones flotantes en `package.json` de proyectos starter **Checklist:** - [ ] ¿El `docker-compose.yml` usa `mongo:7.0` (no `mongo:latest`)? - [ ] ¿Los `package.json` de starter/solution usan versiones exactas (sin `^`, `~`)? - [ ] ¿`pnpm audit --audit-level moderate` pasa sin vulnerabilidades? --- ## OWASP A07 — Identification and Authentication Failures **Riesgos en MongoDB:** - Credenciales por defecto sin cambiar en producción - Sin roles RBAC definidos para usuarios de aplicación - Acceso como `admin` desde la aplicación cuando solo se necesita `readWrite` **Checklist:** - [ ] ¿Las credenciales de desarrollo (`bootcamp`/`bootcamp123`) están claramente marcadas como solo para entorno local? - [ ] ¿Los scripts de producción (si los hay) usan variables de entorno? - [ ] ¿No hay usuarios creados sin contraseña? --- ## OWASP A08 — Software and Data Integrity Failures **Riesgos en MongoDB:** - `$jsonSchema` ausente en colecciones que lo requieren - Sin validación de tipos BSON en inserciones masivas - CI/CD que despliega sin revisar the integridad de scripts **Checklist:** - [ ] ¿Las colecciones importantes tienen validación `$jsonSchema`? - [ ] ¿Los `setup.js` usan tipos BSON correctos (`Decimal128`, `NumberInt`, `new Date()`)? - [ ] ¿El pipeline de CI incluye verificación de sintaxis de scripts? --- ## OWASP A09 — Security Logging and Monitoring Failures **Riesgos en MongoDB:** - Sin logs de operaciones de autenticación fallidas - Logs con datos sensibles (contraseñas, tokens en queries) - Sin monitorización de operaciones lentas (slow query log) **Checklist:** - [ ] ¿El `docker-compose.yml` habilita el slow query log (`--slowms`)? - [ ] ¿Los scripts de ejemplo no loguean valores sensibles con `print()`? --- ## OWASP A10 — Server-Side Request Forgery (SSRF) **Riesgos en MongoDB:** - Change Streams o webhooks que aceptan URLs externas sin validación - Atlas Data Federation con fuentes de datos no validadas **Checklist:** - [ ] ¿Los ejemplos de Change Streams no exponen endpoints sin autenticación? - [ ] ¿No hay ejemplos que hagan fetch a URLs proporcionadas por el usuario? --- ## Instrucciones para el agente 1. Leer todos los archivos en la ruta indicada 2. Para cada riesgo OWASP, verificar los ítems del checklist 3. Reportar los **problemas encontrados** con: - Archivo y línea donde ocurre - Descripción del riesgo - Código actual problemático - Código corregido sugerido 4. Si no hay problemas en un área, indicar "✅ Sin problemas detectados" 5. Ordenar por severidad: Alto → Medio → Bajo 6. Al final, dar un **resumen ejecutivo** con el número de issues por categoría ## Ruta a revisar $input

{ "prompt": "# Security Review — OWASP Top 10 para MongoDB CE\n\nRevisa el código indicado aplicando los 10 riesgos de seguridad más críticos según\nOWASP, adaptados al stack del bootcamp (MongoDB 7.0, Node.js, mongosh).\n\n## OWASP A01 — Broken Access Control\n\n**Riesgos en MongoDB:**\n\n- Usuarios con rol `root` o `dbAdmin` donde solo se necesita `readWrite`\n- Colecciones sin autenticación habilitada en el contenedor\n- Rutas de API (si hay Node.js) sin verificación de permisos antes de operar\n\n**Checklist:**\n\n- [ ] ¿Los scripts usan el usuario `bootcamp` con `readWrite` (no `root`)?\n- [ ] ¿El contenedor Docker tiene `--auth` habilitado?\n- [ ] ¿No hay operaciones `db.dropDatabase()` accesibles sin rol explícito?\n- [ ] ¿Los archivos `.env` no se commitean al repositorio?\n\n**Ejemplo de corrección:**\n\n```js\n// ❌ Conectar como root en scripts de ejercicios\nmongosh -u root -p rootpassword --authenticationDatabase admin\n\n// ✅ Usar usuario con mínimos privilegios\nmongosh -u bootcamp -p bootcamp123 --authenticationDatabase admin bootcamp_db\n```\n\n---\n\n## OWASP A02 — Cryptographic Failures\n\n**Riesgos en MongoDB:**\n\n- Contraseñas almacenadas en texto plano en documentos\n- Secretos hardcodeados en scripts `.js` o en `docker-compose.yml`\n- Credenciales reales en `.env.example` (en lugar de placeholders)\n\n**Checklist:**\n\n- [ ] ¿Los documentos de prueba usan `passwordHash` (nunca `password` en plano)?\n- [ ] ¿El `docker-compose.yml` usa variables de entorno desde `.env`?\n- [ ] ¿El `.env.example` tiene solo placeholders (no valores reales)?\n- [ ] ¿El `.env` está en `.gitignore`?\n\n**Ejemplo de corrección:**\n\n```js\n// ❌ Contraseña en texto plano\ndb.users.insertOne({ email: \"user@example.com\", password: \"secret123\" });\n\n// ✅ Hash de contraseña (bcrypt en producción)\ndb.users.insertOne({ email: \"user@example.com\", passwordHash: \"$2b$10$...\" });\n```\n\n---\n\n## OWASP A03 — Injection\n\n**Riesgos en MongoDB:**\n\n- Construcción de queries con concatenación de strings (NoSQL Injection)\n- Uso de `$where` con input del usuario (ejecución de JavaScript del servidor)\n- Uso de `mapReduce` con código generado dinámicamente\n\n**Checklist:**\n\n- [ ] ¿No hay queries construidas con concatenación de strings?\n- [ ] ¿Se evita `$where` con datos del usuario?\n- [ ] ¿Los filtros de ejemplo usan valores literales, no variables sin sanitizar?\n- [ ] ¿En código Node.js, los inputs se validan antes de pasarlos a queries?\n\n**Ejemplo de corrección:**\n\n```js\n// ❌ NoSQL Injection — input del usuario concatenado\nconst userInput = '{ $gt: \"\" }'; // input malicioso\ndb.users.find({ password: JSON.parse(userInput) }); // bypass de auth\n\n// ✅ Validar tipo y usar valores literales\ndb.users.find({ email: \"user@example.com\" });\n\n// ❌ $where con input del usuario\ndb.products.find({ $where: `this.price > {{userPrice}}` });\n\n// ✅ Usar operadores nativos\ndb.products.find({ price: { $gt: NumberInt(100) } });\n```\n\n---\n\n## OWASP A04 — Insecure Design\n\n**Riesgos en MongoDB:**\n\n- Sin paginación en consultas a colecciones grandes (exfiltración de datos)\n- Pipelines que exponen campos sensibles sin proyección\n- Colecciones sin índices en campos de consulta frecuente (DoS por COLLSCAN)\n\n**Checklist:**\n\n- [ ] ¿Las queries de ejemplo incluyen `.limit()` o `$limit` cuando aplica?\n- [ ] ¿Las proyecciones excluyen campos sensibles (`passwordHash`, tokens)?\n- [ ] ¿Las colecciones de datos de prueba tienen índices en campos de búsqueda?\n\n---\n\n## OWASP A05 — Security Misconfiguration\n\n**Riesgos en MongoDB:**\n\n- Puerto 27017 expuesto a internet sin autenticación\n- `mongod` corriendo sin `--auth` en la configuración\n- Binds a `0.0.0.0` sin firewall en entornos distintos al local\n\n**Checklist:**\n\n- [ ] ¿El `docker-compose.yml` expone el puerto solo a `127.0.0.1`?\n- [ ] ¿Está habilitada la autenticación en el contenedor?\n- [ ] ¿No hay configuración `bindIp: 0.0.0.0` sin protección adicional?\n\n**Ejemplo de corrección:**\n\n```yaml\n# ❌ Puerto expuesto a todas las interfaces\nports:\n - \"27017:27017\"\n\n# ✅ Solo accesible desde localhost\nports:\n - \"127.0.0.1:27017:27017\"\n```\n\n---\n\n## OWASP A06 — Vulnerable and Outdated Components\n\n**Riesgos en MongoDB:**\n\n- Imagen Docker de MongoDB sin versión fija (usando `latest`)\n- Drivers de Node.js con CVEs conocidos\n- Versiones flotantes en `package.json` de proyectos starter\n\n**Checklist:**\n\n- [ ] ¿El `docker-compose.yml` usa `mongo:7.0` (no `mongo:latest`)?\n- [ ] ¿Los `package.json` de starter/solution usan versiones exactas (sin `^`, `~`)?\n- [ ] ¿`pnpm audit --audit-level moderate` pasa sin vulnerabilidades?\n\n---\n\n## OWASP A07 — Identification and Authentication Failures\n\n**Riesgos en MongoDB:**\n\n- Credenciales por defecto sin cambiar en producción\n- Sin roles RBAC definidos para usuarios de aplicación\n- Acceso como `admin` desde la aplicación cuando solo se necesita `readWrite`\n\n**Checklist:**\n\n- [ ] ¿Las credenciales de desarrollo (`bootcamp`/`bootcamp123`) están claramente marcadas como solo para entorno local?\n- [ ] ¿Los scripts de producción (si los hay) usan variables de entorno?\n- [ ] ¿No hay usuarios creados sin contraseña?\n\n---\n\n## OWASP A08 — Software and Data Integrity Failures\n\n**Riesgos en MongoDB:**\n\n- `$jsonSchema` ausente en colecciones que lo requieren\n- Sin validación de tipos BSON en inserciones masivas\n- CI/CD que despliega sin revisar the integridad de scripts\n\n**Checklist:**\n\n- [ ] ¿Las colecciones importantes tienen validación `$jsonSchema`?\n- [ ] ¿Los `setup.js` usan tipos BSON correctos (`Decimal128`, `NumberInt`, `new Date()`)?\n- [ ] ¿El pipeline de CI incluye verificación de sintaxis de scripts?\n\n---\n\n## OWASP A09 — Security Logging and Monitoring Failures\n\n**Riesgos en MongoDB:**\n\n- Sin logs de operaciones de autenticación fallidas\n- Logs con datos sensibles (contraseñas, tokens en queries)\n- Sin monitorización de operaciones lentas (slow query log)\n\n**Checklist:**\n\n- [ ] ¿El `docker-compose.yml` habilita el slow query log (`--slowms`)?\n- [ ] ¿Los scripts de ejemplo no loguean valores sensibles con `print()`?\n\n---\n\n## OWASP A10 — Server-Side Request Forgery (SSRF)\n\n**Riesgos en MongoDB:**\n\n- Change Streams o webhooks que aceptan URLs externas sin validación\n- Atlas Data Federation con fuentes de datos no validadas\n\n**Checklist:**\n\n- [ ] ¿Los ejemplos de Change Streams no exponen endpoints sin autenticación?\n- [ ] ¿No hay ejemplos que hagan fetch a URLs proporcionadas por el usuario?\n\n---\n\n## Instrucciones para el agente\n\n1. Leer todos los archivos en la ruta indicada\n2. Para cada riesgo OWASP, verificar los ítems del checklist\n3. Reportar los **problemas encontrados** con:\n - Archivo y línea donde ocurre\n - Descripción del riesgo\n - Código actual problemático\n - Código corregido sugerido\n4. Si no hay problemas en un área, indicar \"✅ Sin problemas detectados\"\n5. Ordenar por severidad: Alto → Medio → Bajo\n6. Al final, dar un **resumen ejecutivo** con el número de issues por categoría\n\n## Ruta a revisar\n\n$input", "variables": [ "userPrice" ], "notes": "Revisa el código de una semana o archivo específico aplicando OWASP Top 10 en contexto de MongoDB CE. Detecta vulnerabilidades en queries, configuración y scripts, y sugiere correcciones concretas. Mode: agent. Arguments: Ruta del archivo o carpeta a revisar (ej: bootcamp/week-09/3-proyecto/starter).", "metadata": { "source": { "provider": "github-prompts", "repository": "https://github.com/ergrato-dev/bc-mongodb-ce", "path": ".github/prompts/security-review.prompt.md", "ref": "c1464ebadaf2c9cb834933459d6d4ff2d17cb449", "url": "https://github.com/ergrato-dev/bc-mongodb-ce/blob/c1464ebadaf2c9cb834933459d6d4ff2d17cb449/.github/prompts/security-review.prompt.md", "key": "ergrato-dev/bc-mongodb-ce/.github/prompts/security-review.prompt.md" } } }

Security review

About

Security Review — OWASP Top 10 para MongoDB CE

OWASP A01 — Broken Access Control

OWASP A02 — Cryptographic Failures

OWASP A03 — Injection

OWASP A04 — Insecure Design

OWASP A05 — Security Misconfiguration

OWASP A06 — Vulnerable and Outdated Components

OWASP A07 — Identification and Authentication Failures

OWASP A08 — Software and Data Integrity Failures

OWASP A09 — Security Logging and Monitoring Failures

OWASP A10 — Server-Side Request Forgery (SSRF)

Instrucciones para el agente

Ruta a revisar

Use it

Manifest

Reviews