CVE-2026-103965
ŚrednieCVSS 5.4Streszczenie
Problem w frameworku agregacji MongoDB Server może powodować nieprawidłową obsługę pewnych stałych wartości podczas wewnętrznego przepisywania zapytań. W określonych warunkach uwierzytelniony użytkownik z prawem odczytu może otrzymać w wynikach agregacji wartości pól, których zapytanie nie miało zamiaru zwracać.
Ocena ryzyka
Może dojść do nieautoryzowanego ujawnienia danych, ponieważ użytkownik z prawem odczytu może uzyskać dostęp do wartości pól, do których nie powinien mieć dostępu w ramach danego zapytania.
Rekomendacja
Zaktualizuj MongoDB Server do wersji zawierającej poprawkę i przejrzyj uprawnienia użytkowników, aby zminimalizować ryzyko wycieku danych.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-96297Średnie
Użycie zwolnionej pamięci w funkcji agregacji MongoDB Server może spowodować odczyt danych z obszaru pamięci po jego zwolnieniu, gdy wewnętrzny etap agregacji zostanie połączony z rozmiarem partii 0. Wyniki zapytań zwracane klientowi mogą zawierać niepowiązane dane z procesu serwera, a proces może również nieoczekiwanie zakończyć się.
- CVE-2026-104004Średnie
Funkcja walidacji kolekcji w MongoDB Server może nieprawidłowo obsługiwać pewne wyrażenia przechowywane w walidatorze. W niektórych przypadkach może to spowodować zatrzymanie procesu serwera przy późniejszym wstawianiu dokumentu. Problem dotyczy uwierzytelnionych użytkowników z prawem zapisu.
- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-8053Wysokie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
- CVE-2026-82071Wysokie
Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
An issue in MongoDB Server's aggregation framework can cause certain constant values to be handled incorrectly during internal query rewriting. Under certain conditions, an authenticated user with read access may receive field values in aggregation output that the query did not intend to return.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS