CVE-2026-8053
WysokieStreszczenie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
Ocena ryzyka
Podatność ta może prowadzić do wykonania dowolnego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu. Organizacje powinny być świadome ryzyka związanego z nieautoryzowanym dostępem do danych.
Rekomendacja
Zaleca się aktualizację MongoDB Server do wersji 5.0.33, 6.0.28, 7.0.34, 8.0.23, 8.2.9 lub 8.3.2, aby usunąć tę podatność. Należy również monitorować dostęp użytkowników z uprawnieniami do zapisu.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-18712Wysokie
MongoDB Server ma problem w operacjach utrzymania szyfrowania Queryable Encryption, który może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami do jednej zaszyfrowanej kolekcji na nieautoryzowaną modyfikację lub zniszczenie danych należących do innej kolekcji. Wynika to z niewystarczającej walidacji pewnych wewnętrznych referencji metadanych przed ich użyciem do operacji na innych przestrzeniach nazw.
- CVE-2026-18711Wysokie
MongoDB Server ma problem w silniku wykonywania zapytań, który może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu i zapisu na użycie wewnętrznej referencji po zwolnieniu pamięci, podczas wykonywania niektórych zapytań na kolekcjach szeregów czasowych. Może to spowodować awarię serwera lub ujawnienie zawartości zwolnionej pamięci w wynikach zapytań.
- CVE-2026-18709Średnie
Problem w MongoDB Server może pozwolić uwierzytelnionemu użytkownikowi z bezpośrednim dostępem sieciowym do sharda na nieprawidłowe zatwierdzenie lub przerwanie trwającej przygotowanej transakcji, omijając zamierzony proces koordynacji transakcji. Może to prowadzić do niespójności danych między shardami, uszkodzenia zegara klastra i naruszenia gwarancji atomowości transakcji.
- CVE-2026-18708Średnie
Podatność w silniku skryptowym JavaScript MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu wykonanie kontrolowanego kodu w zakresie zapytań innych użytkowników poprzez specjalnie spreparowaną przechowywaną wartość przetwarzaną podczas wewnętrznego cyklu konserwacji. Może to prowadzić do uszkodzenia wyników zapytań innych użytkowników oraz odmowy usługi dla ich operacji na tej samej bazie danych. Wpływ jest ograniczony do piaskownicy wykonawczej silnika skryptowego, która nie zapewnia dostępu do bazy danych, systemu plików ani zasobów sieciowych.
- CVE-2026-18707Średnie
Podatność w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi, nawet bez przypisanych uprawnień, spowodowanie nieoczekiwanego zakończenia procesu serwera poprzez wysłanie specjalnie spreparowanego polecenia agregacji. Może to prowadzić do odmowy usługi.
- CVE-2026-18706Średnie
Podatność w etapie agregacji $graphLookup w MongoDB Server może pozwolić uwierzytelnionemu użytkownikowi, który może wydawać polecenia agregacji i zarządzania pamięcią, na użycie wewnętrznego odwołania po zwolnieniu pamięci. Może to prowadzić do awarii serwera lub potencjalnie wykonania nieprzewidzianego kodu.
- CVE-2026-18705Średnie
Podatność w funkcji Atlas Vector Search w MongoDB Server może pozwolić uwierzytelnionemu użytkownikowi z dostępem do odczytu jednego widoku na pobranie dokumentów z innego, chronionego widoku opartego na tej samej kolekcji. Wynika to z niewystarczającego przetwarzania niektórych pól dostarczanych przez użytkownika podczas konstruowania wewnętrznego żądania przekazywanego do procesu wyszukiwania.
- CVE-2026-18704Średnie
Podatność w frameworku agregacji MongoDB Server może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami tylko do odczytu na wykonanie operacji zapisu na kolekcjach, których nie powinien móc modyfikować. Wynika to z dostępności wewnętrznego etapu agregacji dla zewnętrznych klientów bez odpowiedniej kontroli autoryzacji na jego osadzonych operacjach.
- CVE-2026-18703Średnie
Podatność w MongoDB Server może pozwolić stronie posiadającej ważny certyfikat klienta i odpowiadające konto użytkownika na uwierzytelnienie przy użyciu metody opartej na certyfikatach, nawet gdy administrator skonfigurował serwer tak, aby ograniczyć uwierzytelnianie do innych mechanizmów. Może to pozwolić na uwierzytelnienie metodą, którą administrator zamierzał wyłączyć.
Oryginalny opis (angielski, źródło NVD)
An issue in MongoDB Server's time-series collection implementation allows an authenticated user with database write privileges to trigger an out-of-bounds memory write in the mongod process. The issue results from an inconsistency in the internal field-name-to-index mapping within the time-series bucket catalog. Under certain conditions this can result in arbitrary code execution. This issue impacts MongoDB Server v5.0 versions prior to 5.0.33, v6.0 versions prior to 6.0.28, v7.0 versions prior to 7.0.34, v8.0 versions prior to 8.0.23, v8.2 versions prior to 8.2.9 and v8.3 versions prior to 8.3.2.