MongoDB: Mehrere Schwachstellen
WID-SEC-2026-3320 · primera publicación 11.09.2026 · actualizado 29.10.2026 · CVSS 9,4
De qué se trata
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein Angreifer kann mehrere Schwachstellen in MongoDB ausnutzen, um Abfrage- und Zugriffsbeschränkungen zu umgehen, nicht vorgesehene Datensätze oder Dateien auszulesen, zu verändern oder zu löschen sowie unter bestimmten Voraussetzungen MongoDB-Server oder Anwendungen zum Absturz zu bringen und dadurch einen Denial-of-Service zu verursachen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Abfrage-
- Zugriffsbeschränkungen zu umgehen
- nicht vorgesehene Datensätze oder Dateien auszulesen und zu verändern oder zu löschen sowie unter bestimmten Voraussetzungen MongoDB-Server oder Anwendungen zum Absturz zu bringen
- dadurch einen Denial-of-Service zu verursachen
¿Me afecta?
Afectados según el BSI:
- Red Hat Enterprise Linux
- Fedora Linux
- RESF Rocky Linux
- Oracle Linux
- Open Source MongoDB Server <7.0.41
- Open Source MongoDB Server <8.0.30
- Open Source MongoDB Server <8.3.9
- Open Source MongoDB Laravel <5.11.0
- Open Source MongoDB PHP Library
- Open Source MongoDB Rust Driver <3.9.1
- Open Source MongoDB C# Driver
- Open Source MongoDB Python Driver <4.18.1
y 7 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source MongoDB Server 7.0.41
- Open Source MongoDB Server 8.0.30
- Open Source MongoDB Server 8.3.9
- Open Source MongoDB Laravel 5.11.0
- Open Source MongoDB Rust Driver 3.9.1
- Open Source MongoDB Python Driver 4.18.1
- Open Source MongoDB Go Driver 1.17.10
- Open Source MongoDB Go Driver 2.9.1
- Open Source MongoDB Java Driver 5.11.1
- Open Source MongoDB DB C++ Driver 4.5.3
- Open Source MongoDB C Driver 2.5.3
- Open Source MongoDB Countly Server 25.03.53-LTS
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- GitHub Advisory Database vom 2026-09-10 github.com
- Fedora Security Advisory FEDORA-2026-785536C3AB vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2026-5E35777502 vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-D69C3D4D86 vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-D66E71CDD9 vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-77994590BF vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-49D3C785D9 vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-3E09CCAE3A vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2026-B056D7184A vom 2026-09-15 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-AA805ED951 vom 2026-09-18 bodhi.fedoraproject.org
y 14 fuentes más en el aviso original
CVE: CVE-2026-82052, CVE-2026-87803, CVE-2026-88022, CVE-2026-88023, CVE-2026-88024, CVE-2026-88025, CVE-2026-88026, CVE-2026-88027, CVE-2026-88028, CVE-2026-88029, CVE-2026-88030, CVE-2026-88031, CVE-2026-88032, CVE-2026-88033, CVE-2026-88034, CVE-2026-88035, CVE-2026-88036
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.