CVE-2026-18688

Użycie zwolnionej pamięci w funkcji agregacji MongoDB Server może spowodować odczyt danych z obszaru pamięci po jego zwolnieniu, gdy wewnętrzny etap agregacji zostanie połączony z rozmiarem partii 0. Wyniki zapytań zwracane klientowi mogą zawierać niepowiązane dane z procesu serwera, a proces może również nieoczekiwanie zakończyć się.

Funkcja walidacji kolekcji w MongoDB Server może nieprawidłowo obsługiwać pewne wyrażenia przechowywane w walidatorze. W niektórych przypadkach może to spowodować zatrzymanie procesu serwera przy późniejszym wstawianiu dokumentu. Problem dotyczy uwierzytelnionych użytkowników z prawem zapisu.

Problem w frameworku agregacji MongoDB Server może powodować nieprawidłową obsługę pewnych stałych wartości podczas wewnętrznego przepisywania zapytań. W określonych warunkach uwierzytelniony użytkownik z prawem odczytu może otrzymać w wynikach agregacji wartości pól, których zapytanie nie miało zamiaru zwracać.

Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.

W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.

W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.

MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.

Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.