CVE-2026-9753
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Etap potoku agregacji $_internalApplyOplogUpdate może być wykorzystany do wykonania dyfuzyjnego dokumentu zawierającego nieprawidłową dyfuzję binarną, co prowadzi do odczytu poza zakresem pamięci lub awarii serwera. Każdy uwierzytelniony użytkownik z dostępem do polecenia aggregate może uruchomić tę operację.
Ocena ryzyka
Atakujący może spowodować wyciek wrażliwych danych z pamięci lub doprowadzić do niedostępności usługi (DoS) poprzez awarię serwera.
Rekomendacja
Ogranicz dostęp do polecenia aggregate tylko dla zaufanych użytkowników i zastosuj łatkę od producenta bazy danych.
Inne podatności w MongoDB
Zobacz wszystkie- CVE-2016-3104Wysokie
W MongoDB 2.6, przy użyciu użytkowników w stylu 2.4, zdalni atakujący mogą spowodować odmowę usługi poprzez wykorzystanie reprezentacji bazy danych w pamięci podczas próby uwierzytelnienia w nieistniejącej bazie danych.
- CVE-2017-15535Krytyczne
MongoDB w wersjach 3.4.x przed 3.4.10 oraz 3.5.x-development ma domyślnie wyłączoną konfigurację networkMessageCompressors, która, gdy jest włączona, może być wykorzystana przez złośliwego atakującego do odmowy usługi lub modyfikacji pamięci.
- CVE-2026-9737Średnie
Podczas planowania zapytań w MongoDB, przy odczytywaniu wzorca sortowania w surowej formie BSONObj, w niektórych miejscach nie obsłużono jawnie przypadku wyrażenia meta. Może to prowadzić do nieprawidłowych transformacji i błędu invariant failure.
- CVE-2026-13077Wysokie
Brak sprawdzenia zakresu w akcesorach elementów BSON CodeWScope umożliwia atakującemu wywołanie odczytu poza stertą poprzez spreparowany potok agregacji. Podatność może być wykorzystana przez uwierzytelnionego użytkownika poprzez wygenerowanie zniekształconych danych BSONColumn zawierających element CodeWScope, omijając walidację BSON na poziomie sieci. Podczas dekompresji sfałszowanego elementu, niesprawdzona wartość rozmiaru jest używana w arytmetyce wskaźników, powodując awarię serwera lub ujawnienie sąsiednich danych sterty.
- CVE-2026-13076Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci, wykonując określoną operację konwersji typu danych w frameworku agregacji MongoDB. Wymaga to dostępu do zapisu bazy danych i możliwości uruchamiania zapytań agregacji.
- CVE-2026-13075Średnie
Uwierzytelniony użytkownik może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez etapy agregacji $rankFusion i $scoreFusion. Problem leży w ścieżce obsługi błędów serwera i wymaga możliwości uruchamiania zapytań agregacji.
- CVE-2026-13074Średnie
MongoDB jest podatny na atak DoS polegający na nadmiernym zużyciu CPU. Niezautoryzowany klient może wysłać specyficzną kombinację parametrów do polecenia hello w trybie exhaust, powodując pętlę odpowiedzi omijającą normalne ograniczniki.
- CVE-2026-13073Średnie
Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może spowodować nieprawidłowe zakończenie procesu mongod poprzez wysłanie spreparowanego polecenia agregacji. Prowadzi to do odmowy usługi dla wszystkich podłączonych klientów do czasu restartu procesu. Problem wynika z niespójności w wyborze wewnętrznego silnika.
- CVE-2026-13072Wysokie
Gdy tryb compute jest włączony na samodzielnej instancji mongod, niewystarczająca walidacja zewnętrznych danych BSON podczas przetwarzania potoku agregacji może prowadzić do uszkodzenia pamięci, potencjalnie powodując zakończenie procesu lub inne niepożądane zachowanie. Ta konfiguracja jest niestandardowa i wymaga jawnego włączenia przy starcie.
- CVE-2026-13071Średnie
Uwierzytelniony użytkownik z dostępem do odczytu może spowodować zakończenie procesu mongod przez system operacyjny pod presją pamięci poprzez pewne wyrażenia agregacji wykonujące JavaScript po stronie serwera. Problem dotyczy nieprawidłowego zarządzania pamięcią podczas przetwarzania dokumentów.
Oryginalny opis (angielski, źródło NVD)
The $_internalApplyOplogUpdate aggregation pipeline stage can be used to execute a document diff containing a malformed binary diff to return memory out-of-bounds or crash the server. $_internalApplyOplogUpdate can be executed by any authenticated user with access to the aggregate command.