CVE-2026-82062
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Problem bezpieczeństwa w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z podwyższonymi uprawnieniami wewnętrznymi ominięcie wyłączonej funkcji (feature gate) w poleceniu applyOps poprzez podanie wewnętrznej wartości trybu replikacji, która nie była przeznaczona do wyboru przez klienta. To obejście umożliwia wykonanie operacji kontenerowych, które są domyślnie wyłączone w konfiguracjach produkcyjnych, pozwalając na bezpośrednie zapisy do silnika składowania w dowolnych wewnętrznych tabelach składowania. Kontrola autoryzacji dla tych operacji sprawdza tylko przestrzeń nazw operacji, a nie rzeczywisty cel składowania, co umożliwia zapisy do niezwiązanych wewnętrznych metadanych lub danych innych kolekcji.
Ocena ryzyka
Ryzyko nieautoryzowanego zapisu do wewnętrznych struktur danych MongoDB, co może prowadzić do naruszenia integralności danych, uszkodzenia systemu lub eskalacji uprawnień.
Rekomendacja
Ogranicz uprawnienia wewnętrzne do minimum, zastosuj poprawki bezpieczeństwa MongoDB oraz monitoruj użycie polecenia applyOps pod kątem nietypowych wartości trybu replikacji.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-8053Wysokie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
- CVE-2026-82071Wysokie
Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.
- CVE-2026-82070Średnie
Problem bezpieczeństwa w interfejsie raportowania diagnostycznego MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami monitorowania dostęp do niedostatecznie chronionych poświadczeń z równoczesnych operacji administracyjnych. Te same poświadczenia są poprawnie maskowane w logach serwera, ale interfejs diagnostyczny pomija równoważne maskowanie. Udane wykorzystanie wymaga ważnej sesji uwierzytelnionej z uprawnieniami monitorowania i skutkuje ujawnieniem poświadczeń w postaci jawnego tekstu, co może umożliwić podszywanie się pod innych użytkowników, w tym konta uprzywilejowane.
- CVE-2026-82069Niskie
Problem bezpieczeństwa w MongoDB Server dotyczący serializacji statystyk zapytań na routerze pozwala użytkownikom z uprawnieniami monitorowania na dostęp do niezacenzurowanego tekstu zapytań wyszukiwania innych użytkowników. Niewłaściwa kontrola warunkowa w logice serializacji powoduje obejście mechanizmu redakcji danych podczas przetwarzania zapytań wyszukiwania przez router klastra shardowanego. Skutkuje to przechowywaniem wrażliwych literałów zapytań i udostępnianiem ich przez interfejs statystyk zapytań.
Oryginalny opis (angielski, źródło NVD)
A security issue in MongoDB Server allows an authenticated user with elevated internal privileges to bypass a disabled feature gate in the applyOps command by specifying an internal replication mode value that was not intended to be client-selectable. This bypass enables execution of container operations that are disabled by default in production configurations, allowing direct storage-engine writes to arbitrary internal storage tables. The authorization check for these operations validates only the operation's namespace, not the actual storage target, enabling writes to unrelated internal metadata or other collections' data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS