CVE-2026-82059
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wewnętrzne wyrażenie agregacji w MongoDB Server zostało nieprawidłowo zarejestrowane jako dostępne dla każdego uwierzytelnionego użytkownika, zamiast być ograniczone do wewnętrznych operacji klastra. Poprzez spreparowanie nieprawidłowej specyfikacji indeksu w tym wyrażeniu, uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może wywołać błąd asercji w kodzie generowania kluczy indeksu. W niektórych konfiguracjach kompilacji ten błąd asercji powoduje zakończenie procesu mongod, co prowadzi do odmowy usługi dla wszystkich podłączonych klientów.
Ocena ryzyka
Ryzyko odmowy usługi (DoS) dla wszystkich klientów MongoDB poprzez wywołanie awarii procesu mongod przez użytkownika z uprawnieniami tylko do odczytu.
Rekomendacja
Zainstaluj aktualizacje MongoDB eliminujące tę podatność oraz ogranicz dostęp do wyrażeń agregacji dla zaufanych użytkowników.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-8053Wysokie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
- CVE-2026-82071Wysokie
Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.
- CVE-2026-82070Średnie
Problem bezpieczeństwa w interfejsie raportowania diagnostycznego MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami monitorowania dostęp do niedostatecznie chronionych poświadczeń z równoczesnych operacji administracyjnych. Te same poświadczenia są poprawnie maskowane w logach serwera, ale interfejs diagnostyczny pomija równoważne maskowanie. Udane wykorzystanie wymaga ważnej sesji uwierzytelnionej z uprawnieniami monitorowania i skutkuje ujawnieniem poświadczeń w postaci jawnego tekstu, co może umożliwić podszywanie się pod innych użytkowników, w tym konta uprzywilejowane.
- CVE-2026-82069Niskie
Problem bezpieczeństwa w MongoDB Server dotyczący serializacji statystyk zapytań na routerze pozwala użytkownikom z uprawnieniami monitorowania na dostęp do niezacenzurowanego tekstu zapytań wyszukiwania innych użytkowników. Niewłaściwa kontrola warunkowa w logice serializacji powoduje obejście mechanizmu redakcji danych podczas przetwarzania zapytań wyszukiwania przez router klastra shardowanego. Skutkuje to przechowywaniem wrażliwych literałów zapytań i udostępnianiem ich przez interfejs statystyk zapytań.
Oryginalny opis (angielski, źródło NVD)
An internal aggregation expression in MongoDB Server was incorrectly registered as accessible to any authenticated user rather than being restricted to internal cluster operations. By crafting a malformed index specification within this expression, an authenticated user with read-only privileges could trigger an assertion failure in the index key generation code path. In certain build configurations, this assertion failure results in termination of the mongod process, causing a denial of service to all connected clients.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS