Mittel25 / 100Konfidenz: Mittel

CVSS8.1EPSS0.5 %Über Netz erreichbarOhne Zutun des Nutzers

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.1+15
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-82064, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Zwei unabhaengige Herausgeber berichten den Sachverhalt
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-16 00:00 UTCMethodik

Multiples vulnérabilités dans MongoDB Server (10 septembre 2026)

CERT-FR·10. September 2026, 00:00

Originalartikel lesen bei CERT-FR

Es wurden mehrere kritische Schwachstellen im MongoDB Server entdeckt, die Angreifern die Remote-Ausführung von Code, Denial-of-Service und den Zugriff auf vertrauliche Daten ermöglichen. Betroffen sind verschiedene MongoDB-Versionen, darunter 7.x, 8.0.x, 8.2.x, 8.3.x und 9.x, die älter als die jeweils genannten Patch-Versionen sind. Nutzern wird dringend empfohlen, die Sicherheitspatches des Herstellers zu installieren, um die Systeme zu schützen.

SecBoard-Einordnung

Diese Schwachstellen können zu schwerwiegenden Kompromittierungen führen, einschließlich der vollständigen Kontrolle über den Server, der Unterbrechung von Diensten und dem unbefugten Zugriff auf sensible Datenbankinhalte.

Realistisch schlimmster Fall: Ein Angreifer könnte Remote-Code ausführen, um die Kontrolle über den MongoDB-Server zu übernehmen, alle gespeicherten Daten zu exfiltrieren oder zu manipulieren und den Dienst vollständig zu unterbrechen, was zu erheblichen Betriebs- und Datenverlusten führen würde.

Empfehlung: Überprüfen Sie umgehend alle eingesetzten MongoDB Server-Instanzen und installieren Sie die vom Hersteller bereitgestellten Sicherheitspatches für die betroffenen Versionen.

Key Facts· 12 / 24

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-82071

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82061

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82067

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82053

CVSS: 8.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82064

CVSS: 7.5 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82075

CVSS: 7.5 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82052

CVSS: 6.5 · MEDIUM
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82057

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82076

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82054

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82055

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-82058

CVSS: 6.5 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

Betroffen

Organisationen, die MongoDB Server-Versionen 7.x, 8.0.x, 8.2.x, 8.3.x und 9.x einsetzen, die älter als die jeweils genannten Patch-Versionen sind.

Hersteller

Mongodb

Produkte

Mongodb2 Versionen

▸ CPE-Rohbezeichner anzeigen (5)

cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*
cpe:2.3:a:mongodb:mongodb:*:*:*:*:-:*:*:*
cpe:2.3:a:mongodb:mongodb:9.0.0:alpha0:*:*:-:-:*:*
cpe:2.3:a:mongodb:mongodb:9.0.0:alpha1:*:*:-:-:*:*
cpe:2.3:a:mongodb:mongodb:9.1.0:alpha0:*:*:-:-:*:*

Prüfen

▸Überprüfen Sie alle MongoDB Server-Instanzen auf die installierte Version und vergleichen Sie diese mit den vom Hersteller als anfällig gemeldeten Versionen.
▸Stellen Sie sicher, dass alle MongoDB Server-Instanzen mit den neuesten Sicherheitspatches des Herstellers aktualisiert wurden.

▸ 1 weitere

▸Überprüfen Sie die Netzwerksegmentierung und Zugriffsrichtlinien für MongoDB-Server, um unbefugten Remote-Zugriff zu minimieren.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Details zu den genauen Patch-Versionen für jede betroffene MongoDB-Reihe sind nicht angegeben.
▸Es wird nicht spezifiziert, ob die Schwachstellen aktiv ausgenutzt werden oder ob es Proof-of-Concepts gibt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1210Exploitation of Remote Serviceszugeordnet

„Angreifern die Remote-Ausführung von Code“

T1499Denial of Servicezugeordnet

„Denial-of-Service“

T1530Data from Cloud Storagezugeordnet

„Zugriff auf vertrauliche Daten“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

09. Sept.CERT-FRKontext
Multiples vulnérabilités dans Google Chrome (09 septembre 2026)
09. Sept.The Hacker NewsKontext
Chrome V8 Zero-Day Exploited in the Wild Enables Code Execution Inside Sandbox

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Chrome V8 Zero-Day Exploited in the Wild Enables Code Execution Inside Sandbox

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (12)

CVE-2026-82071HIGH(8.1)

EPSS 0.5%

Insufficient validation of storage engine configuration options in MongoDB Server allows an authenticated user with write privileges to supply crafted parameters during collection creation that override internal storage metadata. This results in an out-of-bounds memory write in the server process, causing a denial of service via server crash, with potential for further impact including arbitrary code execution.

Details NVD

CVE-2026-82061HIGH(8.1)

EPSS 0.5%

A use-after-free security issue exists in the server's query execution memory tracking subsystem. An authenticated user with read privileges can trigger a write to freed heap memory through a sequence of standard database commands, leading to server process crash or potential memory corruption. No user interaction is required.

Details NVD

CVE-2026-82067HIGH(8.1)

EPSS 0.5%

Improper handling of case sensitivity in the configuration validation component of MongoDB Server may cause the authorization subsystem to remain in a default disabled state during server startup. An unauthenticated user with network access to a deployment where this condition occurs can perform arbitrary administrative operations, resulting in full impact of data confidentiality, integrity, and availability.

Details NVD

CVE-2026-82053HIGH(8.1)

EPSS 0.4%

A security issue exists in MongoDB's LDAP authorization integration where pooled LDAP connections can retain stale authentication identities after user authentication under certain configurations. Subsequent authorization queries may execute under an unintended LDAP identity rather than the expected one. This can result in incorrect role assignments based on the LDAP directory's access control configuration, potentially allowing an authenticated user to acquire elevated privileges that were not intended by the deployment's authorization policy.

Details NVD

CVE-2026-82064HIGH(7.5)

EPSS 0.5%

A security issue in MongoDB Server allows an unauthenticated network user to cause a denial of service on a specific type of replica set member. The server contains an assertion in its read concern processing logic that can be reached without authentication, and the assertion's assumptions about internal state do not hold for all member configurations, causing the server process to terminate.

Details NVD

CVE-2026-82075HIGH(7.5)

EPSS 0.5%

An uncontrolled resource consumption weakness exists in the request-handling path of the MongoDB sharded-cluster router process. A client that has network access to a router port and has not authenticated can supply connection-monitoring parameters that cause the server to expend CPU resources without any rate limiting, degrading or denying service to legitimate clients. No authentication, elevated privileges, or user interaction is required. Only availability is affected; data confidentiality and integrity are not impacted.

Details NVD

CVE-2026-82052MEDIUM(6.5)

EPSS 0.5%

The $regexFindAll expression can be used by an authenticated user who can run aggregation pipeline stages to crash a MongoDB server (mongod). Under certain specific conditions the regex match can start in the middle of a multi-code-unit character, triggering an assertion during query execution.

Details NVD

CVE-2026-82057MEDIUM(6.5)

EPSS 0.4%

A security issue was discovered in MongoDB where an authenticated user with readWrite privileges could crash the mongod server process. By specifying a custom WiredTiger storage configuration option with an incompatible value during collection creation, a user could cause a type confusion in the storage engine layer. When documents were subsequently read from the misconfigured collection, the resulting mismatch in expected data format led to corrupted memory interpretation and a server crash. The crafted collection configuration persists across restarts, requiring manual operator intervention to remediate.

Details NVD

CVE-2026-82076MEDIUM(6.5)

EPSS 0.4%

An integer overflow in the query planning component of MongoDB Server can allow an authenticated user with ordinary database-level read/write privileges to bypass an internal resource limit. Submitting a specially crafted query causes the server to consume memory without bound during query planning, and the resulting exhaustion terminates the server process. This may result in a denial of service affecting all databases served by the affected node.

Details NVD

CVE-2026-82054MEDIUM(6.5)

EPSS 0.4%

A security issue exists in MongoDB server's JSON Pointer parser used during $jsonSchema query filter processing. When a find command includes a specially crafted $jsonSchema filter field, the parser processes the input without enforcing adequate limits on iteration count or total allocation size, resulting in significant memory amplification. Under concurrent request load, the cumulative memory consumption can exhaust available heap memory, causing the server's out-of-memory handler to terminate the mongod process and deny service to all connected clients.

Details NVD

CVE-2026-82055MEDIUM(6.5)

EPSS 0.4%

A security issue exists in MongoDB's 2dsphere index key generation that can cause a server crash due to a null pointer dereference. When a specially crafted GeoJSON document is inserted into a collection with a 2dsphere index, an inconsistency in geometry parsing can leave an internal object in an invalid, partially initialized state. During subsequent index key generation, access to this improperly initialized object results in a null pointer dereference that terminates the mongod process. An authenticated user with write access can use this to cause a denial of service.

Details NVD

CVE-2026-82058MEDIUM(6.5)

EPSS 0.4%

A flaw in MongoDB's JSON Schema validation error generation code allows an authenticated user with readWrite privileges to crash the mongod server. When a BSON document containing an array with a malformed numeric field name fails a $jsonSchema items type constraint, the error generation path performs unsafe numeric conversion on the user-controlled field name without proper exception handling, resulting in an uncaught exception that terminates the server process. This is possible because incoming wire protocol BSON validation does not enforce that array element field names are valid, in-range numeric indices.

Details NVD