CVE-2026-18687
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Serwer MongoDB nieprawidłowo waliduje parametry żądań dotyczących operacji konserwacji Queryable Encryption względem konfiguracji zaszyfrowanych pól. Uwierzytelniony użytkownik z uprawnieniami readWrite może wysłać specjalnie spreparowane żądanie, które powoduje awarię serwera lub nadmierne zapisy wewnętrzne, prowadząc do wyczerpania zasobów i uszkodzenia danych indeksu szyfrowanego.
Ocena ryzyka
Atak może doprowadzić do przerwania działania usługi (DoS) oraz uszkodzenia danych indeksu szyfrowanego, co może wpłynąć na integralność i dostępność danych w MongoDB.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez producenta MongoDB oraz ograniczenie uprawnień readWrite tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
MongoDB Server's handling of a Queryable Encryption maintenance operation did not properly validate certain request parameters against the collection's encrypted field configuration before use. An authenticated user with readWrite privileges could submit a specially formed request that leads to a server crash or excessive internal writes, resulting in resource exhaustion and corruption of encrypted index data.