CVE-2026-18710
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Komponent sterownika MongoDB może zapisywać poufne informacje konfiguracyjne, w tym poświadczenia używane do łączności sieciowej, do dzienników aplikacji w postaci jawnego tekstu podczas rutynowej inicjalizacji klienta. Dzieje się to automatycznie w ramach normalnej operacji i nie wymaga specjalnych uprawnień. Osoba mająca dostęp do dzienników aplikacji lub magazynu agregacji dzienników może odzyskać poświadczenia i użyć ich do uwierzytelnienia w powiązanej infrastrukturze sieciowej. Problem dotyczy tylko poufności.
Ocena ryzyka
Ryzyko obejmuje wyciek poświadczeń do dzienników, co może umożliwić nieautoryzowany dostęp do infrastruktury sieciowej. Naruszenie poufności może prowadzić do dalszych ataków.
Rekomendacja
Zaleca się przeglądanie konfiguracji logowania i usunięcie poufnych danych z dzienników. Należy również rotować poświadczenia, które mogły zostać ujawnione, oraz wdrożyć mechanizmy maskowania danych w logach.
Oryginalny opis (angielski, źródło NVD)
A MongoDB driver component could write sensitive configuration information, including a credential used for outbound network connectivity, to application log output in cleartext during routine client initialization. This occurs automatically as part of normal operation and requires no special privileges to trigger. A party able to read the affected application's logs or downstream log-aggregation storage could recover the credential and reuse it to authenticate to the associated network infrastructure. This issue affects confidentiality only.