CVE-2026-107325
ŚrednieCVSS 5.9Streszczenie
Nieprawidłowa walidacja długości tablicy BSON w MongoDB Go Driver może spowodować odczyt poza zakresem i panikę w czasie wykonywania, gdy aplikacja wywołuje bson.RawArray.Validate lub bsoncore.Array.Validate na nieprawidłowej czterobajtowej tablicy. Nieuwierzytelniony atakujący, który może dostarczyć surowe dane tablicy BSON do podatnej aplikacji, może zakończyć proces aplikacji, powodując odmowę usługi.
Ocena ryzyka
Atakujący może spowodować zakończenie procesu aplikacji, prowadząc do braku dostępności usługi.
Rekomendacja
Zaktualizuj MongoDB Go Driver do wersji zawierającej poprawkę (jeśli dostępna) lub zastosuj środki ograniczające, takie jak walidacja danych wejściowych.
Inne podatności w MongoDB Go Driver
Zobacz wszystkie- CVE-2026-107324Średnie
Przepełnienie liczby całkowitej w obsłudze długości wartości BSON w MongoDB Go Driver może spowodować panikę w czasie wykonywania, gdy aplikacja waliduje lub uzyskuje dostęp do nieprawidłowego dokumentu BSON. Nieuwierzytelniony atakujący, który może dostarczyć bajty BSON do podatnej aplikacji, może zakończyć proces aplikacji, powodując odmowę usługi.
- CVE-2026-88031Wysokie
Sterownik MongoDB Go Driver w komponencie GridFS zawiera lukę niewłaściwej neutralizacji elementów specjalnych w logice zapytań, gdzie identyfikator pliku dostarczony przez wywołującego może być zinterpretowany jako warunek zapytania zamiast jako identyfikator. Uwierzytelniony użytkownik mogący wpłynąć na identyfikator może spowodować usunięcie wszystkich fragmentów plików w danym zasobniku.
- CVE-2026-81521Średnie
Operacja zbiorczego zapisu na poziomie klienta w MongoDB Go Driver może przyjąć nazwę bazy danych dostarczoną przez wywołującego zawierającą zarezerwowany znak separatora bez escapowania przed użyciem jej do zbudowania docelowej przestrzeni nazw. Aplikacja przekazująca niezaufane dane jako nazwę bazy może skierować zapis do innej bazy i kolekcji niż zamierzone.
Oryginalny opis (angielski, źródło NVD)
Improper validation of a BSON array length in the MongoDB Go Driver can cause an out-of-bounds index and runtime panic when an application calls bson.RawArray.Validate or bsoncore.Array.Validate on a malformed four-byte array. An unauthenticated actor who can supply raw BSON array data to an affected application may terminate an unprotected application process, causing a denial of service. No confidentiality or integrity impact has been identified.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS