CVE-2026-82067
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Nieprawidłowe obsługiwanie wielkości liter w komponencie walidacji konfiguracji MongoDB może spowodować, że podsystem autoryzacji pozostanie w domyślnym stanie wyłączonym podczas uruchamiania serwera. Nieuwierzytelniony użytkownik z dostępem sieciowym do wdrożenia, w którym występuje ten warunek, może wykonywać dowolne operacje administracyjne, co prowadzi do pełnego wpływu na poufność, integralność i dostępność danych.
Ocena ryzyka
Ryzyko całkowitego przejęcia kontroli nad bazą danych przez nieuwierzytelnionego atakującego, co może skutkować naruszeniem wszystkich danych i przerwaniem działania usług.
Rekomendacja
Zastosuj poprawkę dostarczoną przez producenta MongoDB oraz sprawdź konfigurację autoryzacji po aktualizacji, aby upewnić się, że jest włączona.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-8053Wysokie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
- CVE-2026-82071Wysokie
Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.
- CVE-2026-82070Średnie
Problem bezpieczeństwa w interfejsie raportowania diagnostycznego MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami monitorowania dostęp do niedostatecznie chronionych poświadczeń z równoczesnych operacji administracyjnych. Te same poświadczenia są poprawnie maskowane w logach serwera, ale interfejs diagnostyczny pomija równoważne maskowanie. Udane wykorzystanie wymaga ważnej sesji uwierzytelnionej z uprawnieniami monitorowania i skutkuje ujawnieniem poświadczeń w postaci jawnego tekstu, co może umożliwić podszywanie się pod innych użytkowników, w tym konta uprzywilejowane.
- CVE-2026-82069Niskie
Problem bezpieczeństwa w MongoDB Server dotyczący serializacji statystyk zapytań na routerze pozwala użytkownikom z uprawnieniami monitorowania na dostęp do niezacenzurowanego tekstu zapytań wyszukiwania innych użytkowników. Niewłaściwa kontrola warunkowa w logice serializacji powoduje obejście mechanizmu redakcji danych podczas przetwarzania zapytań wyszukiwania przez router klastra shardowanego. Skutkuje to przechowywaniem wrażliwych literałów zapytań i udostępnianiem ich przez interfejs statystyk zapytań.
Oryginalny opis (angielski, źródło NVD)
Improper handling of case sensitivity in the configuration validation component of MongoDB Server may cause the authorization subsystem to remain in a default disabled state during server startup. An unauthenticated user with network access to a deployment where this condition occurs can perform arbitrary administrative operations, resulting in full impact of data confidentiality, integrity, and availability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS