CVE-2026-18705
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w funkcji Atlas Vector Search w MongoDB Server może pozwolić uwierzytelnionemu użytkownikowi z dostępem do odczytu jednego widoku na pobranie dokumentów z innego, chronionego widoku opartego na tej samej kolekcji. Wynika to z niewystarczającego przetwarzania niektórych pól dostarczanych przez użytkownika podczas konstruowania wewnętrznego żądania przekazywanego do procesu wyszukiwania.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych w chronionych widokach, co może prowadzić do naruszenia poufności informacji.
Rekomendacja
Zaleca się aktualizację MongoDB Server do wersji z poprawką oraz przegląd konfiguracji widoków i uprawnień dostępu.
Oryginalny opis (angielski, źródło NVD)
An issue in MongoDB Server's Atlas Vector Search feature could allow an authenticated user with read access to one view to retrieve documents from a different, protected view over the same underlying collection. This is due to insufficient handling of certain user-supplied fields when constructing an internal request forwarded to the search process.