CVE-2026-13060
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik z ograniczonymi uprawnieniami odczytu może uzyskać dostęp do dokumentów z kolekcji, do których nie ma autoryzacji. Wynika to z niespójności w ocenie etapu agregacji $graphLookup podczas autoryzacji i wykonania. Podatność dotyczy kolekcji przywoływanych w istniejących definicjach widoków potoku.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do wrażliwych danych, co może prowadzić do naruszenia poufności i zgodności z regulacjami.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji MongoDB, w której poprawiono tę podatność, oraz przegląd definicji widoków potoku pod kątem niepotrzebnych kolekcji.
Inne podatności w MongoDB
Zobacz wszystkie- CVE-2016-3104Wysokie
W MongoDB 2.6, przy użyciu użytkowników w stylu 2.4, zdalni atakujący mogą spowodować odmowę usługi poprzez wykorzystanie reprezentacji bazy danych w pamięci podczas próby uwierzytelnienia w nieistniejącej bazie danych.
- CVE-2017-15535Krytyczne
MongoDB w wersjach 3.4.x przed 3.4.10 oraz 3.5.x-development ma domyślnie wyłączoną konfigurację networkMessageCompressors, która, gdy jest włączona, może być wykorzystana przez złośliwego atakującego do odmowy usługi lub modyfikacji pamięci.
- CVE-2026-9737Średnie
Podczas planowania zapytań w MongoDB, przy odczytywaniu wzorca sortowania w surowej formie BSONObj, w niektórych miejscach nie obsłużono jawnie przypadku wyrażenia meta. Może to prowadzić do nieprawidłowych transformacji i błędu invariant failure.
- CVE-2026-13077Wysokie
Brak sprawdzenia zakresu w akcesorach elementów BSON CodeWScope umożliwia atakującemu wywołanie odczytu poza stertą poprzez spreparowany potok agregacji. Podatność może być wykorzystana przez uwierzytelnionego użytkownika poprzez wygenerowanie zniekształconych danych BSONColumn zawierających element CodeWScope, omijając walidację BSON na poziomie sieci. Podczas dekompresji sfałszowanego elementu, niesprawdzona wartość rozmiaru jest używana w arytmetyce wskaźników, powodując awarię serwera lub ujawnienie sąsiednich danych sterty.
- CVE-2026-13076Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci, wykonując określoną operację konwersji typu danych w frameworku agregacji MongoDB. Wymaga to dostępu do zapisu bazy danych i możliwości uruchamiania zapytań agregacji.
- CVE-2026-13075Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez etapy agregacji $rankFusion i $scoreFusion. Problem leży w ścieżce obsługi błędów serwera i wymaga możliwości uruchamiania zapytań agregacji.
- CVE-2026-13074Średnie
MongoDB jest podatny na atak DoS polegający na nadmiernym zużyciu CPU. Niezautoryzowany klient może wysłać specyficzną kombinację parametrów do polecenia hello w trybie exhaust, powodując pętlę odpowiedzi omijającą normalne ograniczniki.
- CVE-2026-13073Średnie
Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może spowodować nieprawidłowe zakończenie procesu mongod poprzez wysłanie spreparowanego polecenia agregacji. Prowadzi to do odmowy usługi dla wszystkich podłączonych klientów do czasu restartu procesu. Problem wynika z niespójności w wyborze wewnętrznego silnika.
- CVE-2026-13072Wysokie
Gdy tryb compute jest włączony na samodzielnej instancji mongod, niewystarczająca walidacja zewnętrznych danych BSON podczas przetwarzania potoku agregacji może prowadzić do uszkodzenia pamięci, potencjalnie powodując zakończenie procesu lub inne niepożądane zachowanie. Ta konfiguracja jest niestandardowa i wymaga jawnego włączenia przy starcie.
- CVE-2026-13071Średnie
Uwierzytelniony użytkownik z dostępem do odczytu może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez pewne wyrażenia agregacji wykonujące JavaScript po stronie serwera. Problem dotyczy nieprawidłowego zarządzania pamięcią podczas przetwarzania dokumentów.
Oryginalny opis (angielski, źródło NVD)
An authenticated user with limited read privileges may be able to access documents from collections they are not authorized to read, due to an inconsistency in how the $graphLookup aggregation stage is evaluated during authorization and during execution. Affected scenarios involve collections referenced within existing view pipeline definitions.