CVE-2026-18696
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik z określonymi, niestandardowymi uprawnieniami może wykonywać operacje definiowania danych, takie jak usuwanie lub modyfikowanie kolekcji, na kolekcjach, do których nie ma uprawnień. Wynika to z niespójności w określaniu docelowej kolekcji między kontrolą autoryzacji a faktyczną operacją.
Ocena ryzyka
Podatność może prowadzić do nieautoryzowanej modyfikacji lub usunięcia danych, co narusza integralność danych i może powodować przerwy w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację MongoDB do wersji z poprawką oraz przegląd uprawnień użytkowników, aby upewnić się, że nie mają nadmiernych uprawnień do operacji DDL.
Oryginalny opis (angielski, źródło NVD)
An issue in MongoDB Server's applyOps command could allow an authenticated user with specific non-default privileges to perform certain data-definition operations, such as dropping or modifying collections, against collections they do not have permission to manipulate. This is due to an inconsistency in how the target collection is determined between the authorization check and the actual operation.