CVE-2026-89099

Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.

W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.

MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.

Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.

Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.

Problem bezpieczeństwa w interfejsie raportowania diagnostycznego MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami monitorowania dostęp do niedostatecznie chronionych poświadczeń z równoczesnych operacji administracyjnych. Te same poświadczenia są poprawnie maskowane w logach serwera, ale interfejs diagnostyczny pomija równoważne maskowanie. Udane wykorzystanie wymaga ważnej sesji uwierzytelnionej z uprawnieniami monitorowania i skutkuje ujawnieniem poświadczeń w postaci jawnego tekstu, co może umożliwić podszywanie się pod innych użytkowników, w tym konta uprzywilejowane.

Problem bezpieczeństwa w MongoDB Server dotyczący serializacji statystyk zapytań na routerze pozwala użytkownikom z uprawnieniami monitorowania na dostęp do niezacenzurowanego tekstu zapytań wyszukiwania innych użytkowników. Niewłaściwa kontrola warunkowa w logice serializacji powoduje obejście mechanizmu redakcji danych podczas przetwarzania zapytań wyszukiwania przez router klastra shardowanego. Skutkuje to przechowywaniem wrażliwych literałów zapytań i udostępnianiem ich przez interfejs statystyk zapytań.

Problem bezpieczeństwa w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami zapisu wywołanie trwałego błędu krytycznego (assertion crash) poprzez wysyłanie specjalnie spreparowanych poleceń zapisu z możliwością ponowienia (retryable write). Stan awarii jest trwale zapisywany, co powoduje wielokrotne awarie procesu serwera przy restarcie i może rozprzestrzeniać się na inne węzły w klastrze shardowanym. Wymagana jest ręczna interwencja w celu przywrócenia dostępności usługi.