CVE-2026-106434
ŚrednieCVSS 4.3Streszczenie
Komponent jawnego odszyfrowania w MongoDB libmongocrypt może zwrócić niezmieniony, nierozpoznany zaszyfrowany payload zamiast zwrócić błąd odszyfrowania. Atakujący, który może modyfikować przechowywane zaszyfrowane pola (np. zapisujący do bazy, serwer lub pośrednik sieciowy), może spowodować, że aplikacja przetworzy dostarczone bajty jako odszyfrowany tekst jawny.
Ocena ryzyka
Atakujący może wpłynąć na poufność lub integralność danych, powodując, że aplikacja przetworzy nieautoryzowane dane jako odszyfrowany tekst jawny.
Rekomendacja
Zaktualizuj MongoDB libmongocrypt do wersji zawierającej poprawkę (jeśli dostępna) lub zastosuj środki ograniczające, takie jak kontrola integralności danych.
Inne podatności w MongoDB libmongocrypt
Zobacz wszystkie- CVE-2026-106429Średnie
Podatność w MongoDB libmongocrypt powoduje niedomiar liczby całkowitej w logice analizy punktów końcowych KMS, co może prowadzić do błędu alokacji i zakończenia procesu aplikacji. Problem występuje, gdy uwierzytelniony użytkownik modyfikuje dokument klucza w kolekcji key vault lub gdy aplikacja akceptuje punkt końcowy KMS zawierający dwukropek po ścieżce lub zapytaniu podczas tworzenia klucza. Podatność nie uzyskuje dostępu do pamięci poza przydzielonymi granicami.
- CVE-2026-81523Średnie
Brak walidacji wejścia w MongoDB libmongocrypt podczas konfiguracji automatycznego szyfrowania pozwala na przyjęcie identyfikatora bazy danych dostarczonego przez wywołującego bez sanityzacji. Wpływ jest ograniczony do nieprawidłowego wyboru schematu, co może prowadzić do ograniczonego ujawnienia lub modyfikacji informacji.
Oryginalny opis (angielski, źródło NVD)
The explicit decryption component of MongoDB libmongocrypt can return an unrecognized encrypted payload unchanged instead of returning a decryption error. An actor who can modify stored encrypted fields, such as a database writer, server, or network intermediary, can cause an affected application to process the supplied bytes as decrypted plaintext.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS