MongoDB Server, Go Driver, Ruby Driver: Mehrere Schwachstellen
WID-SEC-2026-0386 · première publication 11.02.2026 · mise à jour 19.10.2026 · CVSS 7,5
De quoi il s’agit
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in MongoDB ausnutzen, um beliebigen Ruby-Code auszuführen, die Autorisierung zu umgehen, einen Denial-of-Service-Zustand zu verursachen, vertrauliche Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu verursachen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Ruby-Code auszuführen
- die Autorisierung zu umgehen
- einen Denial-of-Service-Zustand zu verursachen
- vertrauliche Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu verursachen
Suis-je concerné ?
Concernés selon le BSI :
- Open Source MongoDB <8.2.5
- Open Source MongoDB <8.0.19
- Open Source MongoDB <7.0.30
- Open Source MongoDB Go <2.5.0
- Open Source MongoDB Go <1.17.9
- Open Source MongoDB Ruby Driver Mongoid <9.0.10
- Open Source MongoDB Ruby Driver Mongoid <8.1.12
- Open Source MongoDB Ruby Driver Mongoid <8.0.12
- Open Source MongoDB Ruby Driver Mongoid <7.6.1
- SUSE openSUSE
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source MongoDB 8.2.5
- Open Source MongoDB 8.0.19
- Open Source MongoDB 7.0.30
- Open Source MongoDB Go 2.5.0
- Open Source MongoDB Go 1.17.9
- Open Source MongoDB Ruby Driver Mongoid 9.0.10
- Open Source MongoDB Ruby Driver Mongoid 8.1.12
- Open Source MongoDB Ruby Driver Mongoid 8.0.12
- Open Source MongoDB Ruby Driver Mongoid 7.6.1
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- openSUSE Security Update OPENSUSE-SU-2026:21551-1 vom 2026-08-12 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:12058-1 vom 2026-10-18 lists.opensuse.org
CVE: CVE-2026-1847, CVE-2026-1848, CVE-2026-1849, CVE-2026-1850, CVE-2026-25609, CVE-2026-25610, CVE-2026-25611, CVE-2026-25612, CVE-2026-25613, CVE-2026-2302, CVE-2026-2303
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.