CVE-2026-9750
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik MongoDB może spowodować awarię serwera lub zwrócenie nieprawidłowych wyników poprzez tworzenie dokumentów zakłócających przetwarzanie metadanych wewnętrznych podczas wykonywania zapytań. Wynika to z niewystarczającego oddzielenia pól dokumentów użytkownika od metadanych wewnętrznych.
Ocena ryzyka
Atakujący może spowodować odmowę usługi (DoS) lub uzyskać nieprawidłowe wyniki zapytań, co może prowadzić do błędnych decyzji biznesowych.
Rekomendacja
Zaktualizuj MongoDB do wersji zawierającej poprawkę lub ogranicz uprawnienia użytkowników do tworzenia dokumentów z potencjalnie konfliktowymi polami.
Inne podatności w MongoDB
Zobacz wszystkie- CVE-2016-3104Wysokie
W MongoDB 2.6, przy użyciu użytkowników w stylu 2.4, zdalni atakujący mogą spowodować odmowę usługi poprzez wykorzystanie reprezentacji bazy danych w pamięci podczas próby uwierzytelnienia w nieistniejącej bazie danych.
- CVE-2017-15535Krytyczne
MongoDB w wersjach 3.4.x przed 3.4.10 oraz 3.5.x-development ma domyślnie wyłączoną konfigurację networkMessageCompressors, która, gdy jest włączona, może być wykorzystana przez złośliwego atakującego do odmowy usługi lub modyfikacji pamięci.
- CVE-2026-9737Średnie
Podczas planowania zapytań w MongoDB, przy odczytywaniu wzorca sortowania w surowej formie BSONObj, w niektórych miejscach nie obsłużono jawnie przypadku wyrażenia meta. Może to prowadzić do nieprawidłowych transformacji i błędu invariant failure.
- CVE-2026-13077Wysokie
Brak sprawdzenia zakresu w akcesorach elementów BSON CodeWScope umożliwia atakującemu wywołanie odczytu poza stertą poprzez spreparowany potok agregacji. Podatność może być wykorzystana przez uwierzytelnionego użytkownika poprzez wygenerowanie zniekształconych danych BSONColumn zawierających element CodeWScope, omijając walidację BSON na poziomie sieci. Podczas dekompresji sfałszowanego elementu, niesprawdzona wartość rozmiaru jest używana w arytmetyce wskaźników, powodując awarię serwera lub ujawnienie sąsiednich danych sterty.
- CVE-2026-13076Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci, wykonując określoną operację konwersji typu danych w frameworku agregacji MongoDB. Wymaga to dostępu do zapisu bazy danych i możliwości uruchamiania zapytań agregacji.
- CVE-2026-13075Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez etapy agregacji $rankFusion i $scoreFusion. Problem leży w ścieżce obsługi błędów serwera i wymaga możliwości uruchamiania zapytań agregacji.
- CVE-2026-13074Średnie
MongoDB jest podatny na atak DoS polegający na nadmiernym zużyciu CPU. Niezautoryzowany klient może wysłać specyficzną kombinację parametrów do polecenia hello w trybie exhaust, powodując pętlę odpowiedzi omijającą normalne ograniczniki.
- CVE-2026-13073Średnie
Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może spowodować nieprawidłowe zakończenie procesu mongod poprzez wysłanie spreparowanego polecenia agregacji. Prowadzi to do odmowy usługi dla wszystkich podłączonych klientów do czasu restartu procesu. Problem wynika z niespójności w wyborze wewnętrznego silnika.
- CVE-2026-13072Wysokie
Gdy tryb compute jest włączony na samodzielnej instancji mongod, niewystarczająca walidacja zewnętrznych danych BSON podczas przetwarzania potoku agregacji może prowadzić do uszkodzenia pamięci, potencjalnie powodując zakończenie procesu lub inne niepożądane zachowanie. Ta konfiguracja jest niestandardowa i wymaga jawnego włączenia przy starcie.
- CVE-2026-13071Średnie
Uwierzytelniony użytkownik z dostępem do odczytu może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez pewne wyrażenia agregacji wykonujące JavaScript po stronie serwera. Problem dotyczy nieprawidłowego zarządzania pamięcią podczas przetwarzania dokumentów.
Oryginalny opis (angielski, źródło NVD)
An authenticated user can cause a MongoDB server to crash or return incorrect results by creating documents that interfere with internal metadata processing during query execution. This stems from insufficient separation between user-controlled document fields and internal metadata in certain execution paths.