CVE-2026-9743
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W MongoDB Server 8.0 etap agregacji może pozostawić pole _subPipeline jako null podczas przetwarzania niektórych potoków. Jeśli następnie zostanie wydane żądanie getMore na tym samym kursorze, serwer może wyłuskać ten null pod-pipeline podczas ponownego dołączania do kontekstu operacji, uzyskując dostęp do nieprawidłowego adresu i powodując awarię procesu. Problem umożliwia uwierzytelnionemu użytkownikowi, który może uruchamiać potoki agregacji, spowodowanie odmowy usługi poprzez wysłanie specjalnie spreparowanej agregacji, a następnie getMore na podatnych wersjach.
Ocena ryzyka
Uwierzytelniony atakujący może spowodować awarię serwera MongoDB, co prowadzi do przerwania dostępności usługi dla wszystkich użytkowników.
Rekomendacja
Zaktualizuj MongoDB Server do wersji, w której naprawiono tę podatność, lub zastosuj dostępną łatkę bezpieczeństwa.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2026-96297Średnie
Użycie zwolnionej pamięci w funkcji agregacji MongoDB Server może spowodować odczyt danych z obszaru pamięci po jego zwolnieniu, gdy wewnętrzny etap agregacji zostanie połączony z rozmiarem partii 0. Wyniki zapytań zwracane klientowi mogą zawierać niepowiązane dane z procesu serwera, a proces może również nieoczekiwanie zakończyć się.
- CVE-2026-104004Średnie
Funkcja walidacji kolekcji w MongoDB Server może nieprawidłowo obsługiwać pewne wyrażenia przechowywane w walidatorze. W niektórych przypadkach może to spowodować zatrzymanie procesu serwera przy późniejszym wstawianiu dokumentu. Problem dotyczy uwierzytelnionych użytkowników z prawem zapisu.
- CVE-2026-103965Średnie
Problem w frameworku agregacji MongoDB Server może powodować nieprawidłową obsługę pewnych stałych wartości podczas wewnętrznego przepisywania zapytań. W określonych warunkach uwierzytelniony użytkownik z prawem odczytu może otrzymać w wynikach agregacji wartości pól, których zapytanie nie miało zamiaru zwracać.
- CVE-2026-8336Wysokie
Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.
- CVE-2026-8053Wysokie
W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.
- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
In MongoDB Server 8.0, an aggregation stage can leave its _subPipeline field null during processing of certain pipelines. If a getMore is subsequently issued on the same cursor, the server may dereference this null sub-pipeline when reattaching to the operation context, accessing an invalid address and crashing the process. This issue allows an authenticated user who can run aggregation pipelines to cause a denial of service by issuing a specially crafted aggregation followed by getMore on affected versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS