CVE-2026-18708
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w silniku skryptowym JavaScript MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu wykonanie kontrolowanego kodu w zakresie zapytań innych użytkowników poprzez specjalnie spreparowaną przechowywaną wartość przetwarzaną podczas wewnętrznego cyklu konserwacji. Może to prowadzić do uszkodzenia wyników zapytań innych użytkowników oraz odmowy usługi dla ich operacji na tej samej bazie danych. Wpływ jest ograniczony do piaskownicy wykonawczej silnika skryptowego, która nie zapewnia dostępu do bazy danych, systemu plików ani zasobów sieciowych.
Ocena ryzyka
Ryzyko obejmuje potencjalne naruszenie integralności danych i dostępności dla innych użytkowników bazy danych, co może prowadzić do błędnych wyników zapytań i przerw w działaniu aplikacji.
Rekomendacja
Zaleca się aktualizację MongoDB Server do wersji zawierającej poprawkę oraz ograniczenie uprawnień zapisu dla użytkowników, aby zmniejszyć ryzyko wykorzystania podatności.
Oryginalny opis (angielski, źródło NVD)
An issue in MongoDB Server's JavaScript scripting engine could allow an authenticated user with write privileges to cause code they control to be executed within the query scope of other users, through a specially crafted stored value processed during an internal maintenance cycle. This could result in corruption of query results affecting other users and denial of service targeted at their operations on the same database. Impact is limited to the scripting engine's execution sandbox, which does not provide access to database, filesystem, or network resources.