CVE-2026-82062
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Problem bezpieczeństwa w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z podwyższonymi uprawnieniami wewnętrznymi ominięcie wyłączonej funkcji (feature gate) w poleceniu applyOps poprzez podanie wewnętrznej wartości trybu replikacji, która nie była przeznaczona do wyboru przez klienta. To obejście umożliwia wykonanie operacji kontenerowych, które są domyślnie wyłączone w konfiguracjach produkcyjnych, pozwalając na bezpośrednie zapisy do silnika składowania w dowolnych wewnętrznych tabelach składowania. Kontrola autoryzacji dla tych operacji sprawdza tylko przestrzeń nazw operacji, a nie rzeczywisty cel składowania, co umożliwia zapisy do niezwiązanych wewnętrznych metadanych lub danych innych kolekcji.
Ocena ryzyka
Ryzyko nieautoryzowanego zapisu do wewnętrznych struktur danych MongoDB, co może prowadzić do naruszenia integralności danych, uszkodzenia systemu lub eskalacji uprawnień.
Rekomendacja
Ogranicz uprawnienia wewnętrzne do minimum, zastosuj poprawki bezpieczeństwa MongoDB oraz monitoruj użycie polecenia applyOps pod kątem nietypowych wartości trybu replikacji.
Inne podatności w MongoDB Server
Zobacz wszystkie- CVE-2025-14847WysokieAktywnie exploitowane
Niezgodne pola długości w nagłówkach protokołu kompresji Zlib mogą umożliwić nieuwierzytelnionemu klientowi odczyt niezainicjalizowanej pamięci sterty. Problem dotyczy wielu wersji MongoDB Server z gałęzi 3.6, 4.0, 4.2, 4.4, 5.0, 6.0, 7.0, 8.0 i 8.2 przed wskazanymi wersjami poprawionymi.
- CVE-2026-96297Średnie
Użycie zwolnionej pamięci w funkcji agregacji MongoDB Server może spowodować odczyt danych z obszaru pamięci po jego zwolnieniu, gdy wewnętrzny etap agregacji zostanie połączony z rozmiarem partii 0. Wyniki zapytań zwracane klientowi mogą zawierać niepowiązane dane z procesu serwera, a proces może również nieoczekiwanie zakończyć się.
- CVE-2026-104004Średnie
Funkcja walidacji kolekcji w MongoDB Server może nieprawidłowo obsługiwać pewne wyrażenia przechowywane w walidatorze. W niektórych przypadkach może to spowodować zatrzymanie procesu serwera przy późniejszym wstawianiu dokumentu. Problem dotyczy uwierzytelnionych użytkowników z prawem zapisu.
- CVE-2026-103965Średnie
Problem w frameworku agregacji MongoDB Server może powodować nieprawidłową obsługę pewnych stałych wartości podczas wewnętrznego przepisywania zapytań. W określonych warunkach uwierzytelniony użytkownik z prawem odczytu może otrzymać w wynikach agregacji wartości pól, których zapytanie nie miało zamiaru zwracać.
- CVE-2026-89099Wysokie
W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.
- CVE-2026-82076Średnie
W MongoDB Server występuje przepełnienie liczby całkowitej w komponencie planowania zapytań, które może pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami odczytu/zapisu na poziomie bazy danych na ominięcie wewnętrznego limitu zasobów. Specjalnie spreparowane zapytanie powoduje niekontrolowane zużycie pamięci podczas planowania zapytania, co prowadzi do wyczerpania zasobów i zakończenia procesu serwera. Może to skutkować odmową usługi dla wszystkich baz danych obsługiwanych przez zaatakowany węzeł.
- CVE-2026-82074Średnie
MongoDB Server zawiera podatność nieprawidłowej autoryzacji w frameworku agregacji. Uwierzytelniony użytkownik z minimalnymi uprawnieniami może wysłać specjalnie spreparowane żądanie agregacji, które powoduje, że podsystem autoryzacji ocenia inną operację niż faktycznie wykonywana, co skutkuje nieautoryzowanym dostępem do danych kolekcji w docelowej bazie.
- CVE-2026-82073Średnie
Problem bezpieczeństwa w frameworku agregacji MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami odczytu ominięcie kontroli autoryzacji na poziomie widoków i dostęp do danych z nieautoryzowanych kolekcji, gdy używane są funkcje Atlas Search. Problem wynika z niewystarczającej walidacji wewnętrznego parametru polecenia, który może być ustawiony przez klientów zewnętrznych, co powoduje pominięcie kontroli bezpieczeństwa.
- CVE-2026-82071Wysokie
Niewystarczająca walidacja opcji konfiguracji silnika składowania w MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dostarczenie spreparowanych parametrów podczas tworzenia kolekcji, które nadpisują wewnętrzne metadane składowania. Powoduje to zapis poza pamięcią w procesie serwera, co prowadzi do odmowy usługi przez awarię serwera, z możliwością dalszych skutków, w tym wykonania dowolnego kodu.
- CVE-2026-82070Średnie
Problem bezpieczeństwa w interfejsie raportowania diagnostycznego MongoDB Server umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami monitorowania dostęp do niedostatecznie chronionych poświadczeń z równoczesnych operacji administracyjnych. Te same poświadczenia są poprawnie maskowane w logach serwera, ale interfejs diagnostyczny pomija równoważne maskowanie. Udane wykorzystanie wymaga ważnej sesji uwierzytelnionej z uprawnieniami monitorowania i skutkuje ujawnieniem poświadczeń w postaci jawnego tekstu, co może umożliwić podszywanie się pod innych użytkowników, w tym konta uprzywilejowane.
Oryginalny opis (angielski, źródło NVD)
A security issue in MongoDB Server allows an authenticated user with elevated internal privileges to bypass a disabled feature gate in the applyOps command by specifying an internal replication mode value that was not intended to be client-selectable. This bypass enables execution of container operations that are disabled by default in production configurations, allowing direct storage-engine writes to arbitrary internal storage tables. The authorization check for these operations validates only the operation's namespace, not the actual storage target, enabling writes to unrelated internal metadata or other collections' data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS