Mittel22 / 100Konfidenz: Hoch

CVSS6.5EPSS0.2 %Über Netz erreichbarOhne Zutun des Nutzers

Umgehend die vom Hersteller bereitgestellten Sicherheitspatches für alle betroffenen MongoDB-Komponenten installieren.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 6.5+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-84963, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

3 unabhaengige Herausgeber berichten den Sachverhalt
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-23 08:29 UTCMethodik

Web Security

Multiples vulnérabilités dans MongoDB (07 septembre 2026)

CERT-FR·7. September 2026, 00:00

Originalartikel lesen bei CERT-FR

Es wurden mehrere kritische Schwachstellen in MongoDB entdeckt, die Angreifern Datenvertraulichkeit, Datenintegrität und Cross-Site Request Forgery (CSRF) ermöglichen könnten. Betroffen sind verschiedene Versionen der C-, C++-, PHP-Treiber, libmongocrypt und MongoDB für VS Code. Nutzern wird dringend empfohlen, die Sicherheitspatches des Herstellers zu installieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen können zu unbefugtem Zugriff auf sensible Daten, Datenmanipulation und der Ausführung unerwünschter Aktionen durch CSRF führen, was die Integrität und Vertraulichkeit von Anwendungen und Datenbanken gefährdet.

Realistisch schlimmster Fall: Ein Angreifer könnte sensible Daten auslesen oder manipulieren, die Datenbankintegrität untergraben oder über CSRF unautorisierte Aktionen im Namen legitimer Benutzer ausführen.

Key Facts

CVE-2026-84971

CVSS: 6.5 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84970

CVSS: 6.2 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84964

CVSS: 5.9 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84968

CVSS: 5.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84963

CVSS: 5.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84966

CVSS: 5.1 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84965

CVSS: 5.1 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84967

CVSS: 4.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84962

CVSS: 4.2 · MEDIUM
EPSS: 0.1%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-84969

CVSS: 3.7 · LOW
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

Betroffen

Organisationen, die MongoDB mit den betroffenen C-, C++-, PHP-Treibern, libmongocrypt oder MongoDB für VS Code verwenden.

Hersteller

Mongodb

Produkte

C DriverC\+\+ DriverLibmongocryptMongodbPHP Driver

▸ CPE-Rohbezeichner anzeigen (5)

cpe:2.3:a:mongodb:c\+\+_driver:*:*:*:*:*:mongodb:*:*
cpe:2.3:a:mongodb:c_driver:*:*:*:*:*:mongodb:*:*
cpe:2.3:a:mongodb:libmongocrypt:*:*:*:*:*:*:*:*
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:visual_studio_code:*:*
cpe:2.3:a:mongodb:php_driver:*:*:*:*:*:mongodb:*:*

Prüfen

▸Überprüfen Sie alle eingesetzten MongoDB-Treiber (C, C++, PHP) und Tools (libmongocrypt, MongoDB für VS Code) auf ihre Versionen und vergleichen Sie diese mit den vom Hersteller veröffentlichten betroffenen Versionen.
▸Stellen Sie sicher, dass ein Patch-Management-Prozess für Datenbankkomponenten und deren Treiber etabliert ist und regelmäßig durchgeführt wird.

▸ 1 weitere

▸Überprüfen Sie die Protokolle auf ungewöhnliche Zugriffe oder Datenmanipulationen, die auf eine Ausnutzung der Schwachstellen hindeuten könnten, bevor Patches angewendet wurden.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Genaue betroffene Versionsnummern der Treiber und Tools sind nicht im Artikel aufgeführt.
▸Details zu den Angriffsvektoren für jede einzelne Schwachstelle sind nicht spezifiziert.
▸Informationen über bereits erfolgte Ausnutzungen der Schwachstellen sind nicht im Artikel enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Möglich
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1485Data Destructionzugeordnet

„compromise data integrity“

T1490Inhibit System Recoveryzugeordnet

„cause denial of service“

T1530Data from Cloud Storagezugeordnet

„compromise data confidentiality“

T1562Impair Defenseszugeordnet

„bypass security policies“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

01. Sept.CERT-FRKontext
Multiples vulnérabilités dans SPIP (01 septembre 2026)
04. Sept.The Hacker NewsKontext
Google Releases Chrome Update to Patch Actively Exploited V8 Zero-Day
04. Sept.CISA Current ActivityPrimärbeleg
CISA Adds One Known Exploited Vulnerability to Catalog

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 3 unterschiedliche Quellen

CISA Current ActivityPrimärbelegPUBLICZuverlässigkeit A

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

CISA Adds One Known Exploited Vulnerability to Catalog

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-84971 CVE-2026-84970 CVE-2026-84964 CVE-2026-84968 CVE-2026-84963 CVE-2026-84966 CVE-2026-84965 CVE-2026-84967 CVE-2026-84962 CVE-2026-84969

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (10)

CVE-2026-84971MEDIUM(6.5)

EPSS 0.2%

Improper handling of an unexpected value size in the decryption path of a client-side encryption library can cause a failed internal check that terminates the process using the library. A party able to place a suitably formed encrypted value where an application will decrypt it, or able to control the responses the application receives, may cause that application to stop running.

Details NVD

CVE-2026-84970MEDIUM(6.2)

EPSS 0.1%

A numeric truncation weakness exists in the JSON parsing component of the MongoDB C++ Driver's BSON library. An actor who controls the text that an embedding application hands to the library's public JSON parsing interface, when that text is very large, can cause the library to read memory beyond the supplied buffer and return it to the caller, to silently accept only part of the input as a complete document, or to terminate the process. No MongoDB server, credentials, or non-default configuration is required; the effect is confined to the process that uses the library.

Details NVD

CVE-2026-84964MEDIUM(5.9)

EPSS 0.2%

A double free in the OpenSSL-based TLS certificate revocation checking path of the MongoDB C Driver can be reached by a TLS endpoint that the client already trusts. During the handshake, specially formed certificate data can cause the same heap object to be released twice. An unauthenticated party acting as the trusted endpoint may cause the connecting client application to terminate unexpectedly.

Details NVD

CVE-2026-84968MEDIUM(5.3)

EPSS 0.2%

An out-of-bounds read in the BSON decoding component of the MongoDB PHP driver may allow an unauthenticated party who supplies specially formed input to have a small amount of adjacent process memory copied into an error message that is returned to application code. This may result in unintended disclosure of limited memory contents.

Details NVD

CVE-2026-84963MEDIUM(5.3)

EPSS 0.2%

An incorrect numeric conversion in the JSON parsing component of the MongoDB C Driver's BSON library may cause an unusually large text value to be silently shortened, or the corresponding field to be omitted, while the parsing operation still reports success and returns no error. An unauthenticated party who can supply the input processed by an application that uses this component may cause that application to hold data that does not match what was submitted, which may result in unintended alteration of data.

Details NVD

CVE-2026-84966MEDIUM(5.1)

EPSS 0.1%

An incorrect numeric type conversion in the BSON document building component of the MongoDB C++ Driver may cause a length value to be interpreted incorrectly. When an application supplies an extremely large, non-terminated field name to the builder, the library may read memory outside the intended buffer and terminate the calling process. No authentication is required, but the calling application must pass the oversized name in a specific form.

Details NVD

CVE-2026-84965MEDIUM(5.1)

EPSS 0.1%

An integer wraparound in an allocation size calculation in the BSON library's JSON parsing code can cause a buffer to be released while a following copy operation still writes through the stale pointer. On builds where sizes are 32 bits, an unauthenticated party able to supply a sufficiently large JSON input to an application that links the library may cause that application to terminate unexpectedly, resulting in denial of service.

Details NVD

CVE-2026-84967MEDIUM(4.3)

EPSS 0.2%

A component of the MongoDB extension for Visual Studio Code does not neutralize special characters in a connection string before that value is placed into a command line the extension composes for an integrated terminal. An unauthenticated remote unauthorized-user who persuades a developer to accept a user-supplied connection target, and then to open the extension's shell feature, can place characters of the unauthorized-user’s choosing into that command line. No privileges on the developer's machine are required, but several user actions are. The confirmation the developer sees does not display the supplied text.

Details NVD

CVE-2026-84962MEDIUM(4.2)

EPSS 0.1%

An unauthorized user with key vault write access may cause an authorized client to issue arbitrary authenticated Google Cloud KMS API calls under the authorized user's identity, escalating database-level access into cloud key control and defeating client-side encryption.

Details NVD

CVE-2026-84969LOW(3.7)

EPSS 0.2%

A memory-handling error in the BSON-to-JSON conversion helpers of the MongoDB C Driver can write a small number of bytes past the end of a heap buffer when a binary field is encoded and the output is cut short at a caller-configured length limit. A party who supplies the document content, with no privileges on the application that links the driver, may cause a small amount of data outside the intended buffer to be altered.

Details NVD