[TLP:CLEAR]
bollettino di sicurezza 2026/0251
Aggiornamenti MongoDB
24-10-2026
mongodb, mongodb-server, mongodb-compass, php-driver, uncontrolled-recursion, code-injection
descrizione
Tra il 13 e il 21 ottobre MongoDB ha pubblicato sette nuove CVE: cinque il 13 ottobre, una il 19 ottobre e una il 21 ottobre.Le 7 vulnerabilità riguardano MongoDB Server, il PHP driver e Compass, con i seguenti tipi di difetto:
- Uncontrolled Recursion nella logica di decodifica BSON del PHP driver: esaurimento dello stack di processo tramite documenti binari appositamente costruiti.
- Improper Encoding or Escaping of Output in Compass: esecuzione di codice arbitrario con i privilegi dell'utente al momento dell'apertura di una view manipolata.
- Reachable Assertion / autorizzazione mancante su stage interno di aggregazione in MongoDB Server (mongos): crash del processo di routing tramite pipeline aggregazione appositamente costruita (due CVE distinte).
- NULL Pointer Dereference nel sistema di validazione delle collection: crash del server all'inserimento di documenti.
- Use After Free nel framework di aggregazione: lettura di memoria rilasciata con possibile disclosure di dati di processo o terminazione inattesa.
- Improper Control of Generation of Code nel framework di aggregazione ($bucket stage): restituzione di valori di campo non intenzionali.
2 CVE hanno priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTutte le 7 CVE sono sfruttabili via rete (AV:N) con bassa complessità di attacco (AC:L).
Il pattern prevalente (AV:N/AC:L/AT:N/PR:L/UI:N) richiede un utente autenticato con privilegi limitati, senza interazione dell'utente e senza prerequisiti di attacco aggiuntivi.
CVE-2026-112368 non richiede autenticazione né interazione dell'utente (PR:N, UI:N) e presenta AT:P: richiede che l'attaccante possa fornire dati BSON al decoder.
CVE-2026-113870 non richiede privilegi (PR:N) ma richiede l'interazione dell'utente (UI:A): l'utente di Compass deve aprire la view manipolata.
CVE-2026-96297 richiede privilegi limitati e nessuna interazione dell'utente (PR:L, UI:N) e presenta AT:P: il CNA descrive come condizione l'uso combinato di uno stage interno di aggregazione e di batch size 0.
Analisi delle CVE con priorità operativa critical
CVE-2026-112368 — Uncontrolled Recursion (CWE-674) nella logica di decodifica BSON del PHP driver: la decodifica ricorsiva di documenti BSON appositamente strutturati esaurisce lo stack del processo PHP, causandone la terminazione. Lo sfruttamento richiede che l'attaccante possa fornire dati BSON al decoder (AT:P) e non necessita di autenticazione.
CVE-2026-113870 — Improper Encoding or Escaping of Output (CWE-116) in MongoDB Compass: valori BSON non correttamente neutralizzati in una view manipolata vengono interpretati come codice eseguibile al momento dell'apertura della view per la modifica, causando esecuzione di codice arbitrario con i privilegi dell'utente che esegue Compass. L'impatto combina elevata compromissione di riservatezza, integrità e disponibilità del sistema locale (VC:H/VI:H/VA:H).
Scope e impatto
Tutte le CVE hanno impatto sui sistemi successivi nullo (SC:N/SI:N/SA:N): l'impatto rimane confinato al sistema vulnerabile direttamente colpito.
La maggioranza delle CVE presenta esclusivamente impatto elevato sulla disponibilità del sistema vulnerabile (VA:H), senza impatto su riservatezza e integrità (VC:N/VI:N).
CVE-2026-113870 presenta impatto elevato su riservatezza, integrità e disponibilità del sistema vulnerabile (VC:H/VI:H/VA:H).
CVE-2026-96297 presenta VC:H senza impatto su integrità e disponibilità (VI:N/VA:N), con possibile disclosure di dati di processo.
CVE-2026-103965 presenta VC:L e VI:L senza impatto sulla disponibilità (VA:N).
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-112368 | 4.0: 8.2/high | 0.263% | 17.10% | 10.3/critical | no |
| CVE-2026-113870 | 4.0: 8.6/high | 0.238% | 14.06% | 10.1/critical | no |
| CVE-2026-104004 | 4.0: 7.1/high | 0.235% | 13.56% | 8.2/high | no |
| CVE-2026-104005 | 4.0: 7.1/high | 0.235% | 13.56% | 8.2/high | no |
| CVE-2026-96299 | 4.0: 7.1/high | 0.235% | 13.56% | 8.2/high | no |
| CVE-2026-96297 | 4.0: 6.0/medium | 0.241% | 14.40% | 7.1/high | no |
| CVE-2026-103965 | 4.0: 5.3/medium | 0.150% | 3.85% | 3.6/medium | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-476 | NULL Pointer Dereference |
| CWE-116 | Improper Encoding or Escaping of Output |
| CWE-674 | Uncontrolled Recursion |
| CWE-617 | Reachable Assertion |
| CWE-94 | Improper Control of Generation of Code ('Code Injection') |
| CWE-416 | Use After Free |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| MongoDB |
compass
|