Mittel25 / 100Konfidenz: Mittel

CVSS8.3EPSS0.5 %Über Netz erreichbarOhne Zutun des Nutzers

Installieren Sie umgehend die vom Hersteller bereitgestellten Sicherheitsupdates für alle betroffenen MongoDB-Treiber und Core Server-Versionen.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.3+15
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-88022, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Zwei unabhaengige Herausgeber berichten den Sachverhalt
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-16 00:00 UTCMethodik

Multiples vulnérabilités dans MongoDB (14 septembre 2026)

CERT-FR·14. September 2026, 00:00

Originalartikel lesen bei CERT-FR

Es wurden mehrere kritische Schwachstellen in MongoDB entdeckt, die Angreifern Fernzugriff für Denial-of-Service-Angriffe sowie die Kompromittierung von Datenintegrität und -vertraulichkeit ermöglichen. Betroffen sind diverse MongoDB-Treiber und Core Server-Versionen. Nutzern wird dringend empfohlen, die vom Hersteller bereitgestellten Sicherheitsupdates umgehend zu installieren.

SecBoard-Einordnung

Diese Schwachstellen können zu schwerwiegenden Betriebsunterbrechungen durch Denial-of-Service-Angriffe und zum Verlust der Vertraulichkeit und Integrität sensibler Daten führen.

Realistisch schlimmster Fall: Der schlimmste Fall ist ein vollständiger Verlust der Datenverfügbarkeit, der Datenvertraulichkeit und der Datenintegrität in betroffenen MongoDB-Instanzen, was zu erheblichen finanziellen und reputativen Schäden führen kann.

Key Facts· 12 / 16

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-88036

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88023

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88024

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88025

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88029

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88030

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88033

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88034

CVSS: 8.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88031

CVSS: 8.1 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88022

CVSS: 7.7 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-89099

CVSS: 7.5 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-88027

CVSS: 7.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

Betroffen

Organisationen, die diverse MongoDB-Treiber und Core Server-Versionen einsetzen.

Hersteller

Mongodb

Produkte

C DriverC\+\+ DriverJava Driver

▸ CPE-Rohbezeichner anzeigen (3)

cpe:2.3:a:mongodb:c\+\+_driver:*:*:*:*:*:mongodb:*:*
cpe:2.3:a:mongodb:c_driver:*:*:*:*:*:mongodb:*:*
cpe:2.3:a:mongodb:java_driver:*:*:*:*:*:mongodb:*:*

Prüfen

▸Überprüfen Sie alle eingesetzten MongoDB-Treiber und Core Server-Versionen auf ihre Aktualität.
▸Stellen Sie sicher, dass alle MongoDB-Instanzen die neuesten Sicherheitsupdates und Patches des Herstellers installiert haben.

▸ 1 weitere

▸Führen Sie regelmäßige Scans und Audits Ihrer MongoDB-Umgebungen durch, um potenzielle Schwachstellen zu identifizieren.

Offene Punkte

▸ anzeigen

▸Es werden keine spezifischen CVE-IDs oder Versionsnummern der betroffenen MongoDB-Produkte genannt.
▸Details zu den genauen Angriffsvektoren oder der Komplexität der Ausnutzung sind nicht spezifiziert.
▸Es ist nicht spezifiziert, ob es bereits aktive Ausnutzungen dieser Schwachstellen gibt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1041Exfiltration Over C2 Channelzugeordnet

„Kompromittierung von Datenvertraulichkeit“

T1499Denial of Servicezugeordnet

„Angreifern Fernzugriff für Denial-of-Service-Angriffe ermöglichen.“

T1531Account Access Removalzugeordnet

„Kompromittierung von Datenintegrität“

T1565Data Destructionzugeordnet

„Kompromittierung von Datenintegrität“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

09. Sept.CERT-FRKontext
Multiples vulnérabilités dans Google Chrome (09 septembre 2026)
09. Sept.The Hacker NewsKontext
Chrome V8 Zero-Day Exploited in the Wild Enables Code Execution Inside Sandbox

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Chrome V8 Zero-Day Exploited in the Wild Enables Code Execution Inside Sandbox

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-88036 CVE-2026-88023 CVE-2026-88024 CVE-2026-88025 CVE-2026-88029 CVE-2026-88030 CVE-2026-88033 CVE-2026-88034 CVE-2026-88031 CVE-2026-88022 CVE-2026-89099 CVE-2026-88027 CVE-2026-88028 CVE-2026-88026 CVE-2026-88032 CVE-2026-88035

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (12)

CVE-2026-88036HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB C Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.

Details NVD

CVE-2026-88023HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB PHP Library can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable. The affected rename operation may also rename a stored file other than the intended target.

Details NVD

CVE-2026-88024HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Rust Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.

Details NVD

CVE-2026-88025HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB C# Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable. The affected rename operation may also rename a stored file other than the intended target.

Details NVD

CVE-2026-88029HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Python Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable. The affected rename operation may also rename a stored file other than the intended target.

Details NVD

CVE-2026-88030HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Ruby Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.

Details NVD

CVE-2026-88033HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Java Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable. The affected rename operation may also rename a stored file other than the intended target.

Details NVD

CVE-2026-88034HIGH(8.3)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB C++ Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may obtain stored file content beyond the intended target or cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.

Details NVD

CVE-2026-88031HIGH(8.1)

EPSS 0.5%

Improper neutralization of special elements in data query logic in the GridFS component of the MongoDB Go Driver can cause a caller-supplied structured file identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence the identifier passed by an affected application may cause all GridFS file chunks in the affected bucket to be removed, rendering stored file content unreadable.

Details NVD

CVE-2026-88022HIGH(7.7)

EPSS 0.4%

Improper neutralization of special elements in data query logic in the MongoDB integration for Laravel can cause an array supplied to an explicit equality filter to be interpreted as a query condition rather than as a literal value. This affects the three-argument `where` method when the operator is `=` or `eq`, as well as the `find` and `delete` methods that use that code path. An attacker who can cause an affected application to supply an operator-shaped array to one of these APIs may obtain a document other than the intended target or delete documents beyond the intended target.

Details NVD

CVE-2026-89099HIGH(7.5)

EPSS 0.3%

A race condition in the document value layer of MongoDB Server can allow concurrent server threads to operate on the same internal memory without synchronization, leading to memory corruption. An authenticated user holding ordinary read-write privileges on a database may be able to trigger this condition over the normal client protocol, resulting in server termination and potential corruption of process memory with user-influenced content. Successful use of this issue may impact the confidentiality, integrity, and availability of the affected server process.

Details NVD

CVE-2026-88027HIGH(7.1)

EPSS 0.4%

Improper neutralization of special elements in data query logic in the embedded-document relation handling of the MongoDB integration for Laravel can cause a caller-supplied embedded record identifier to be interpreted as a query condition rather than as a literal identifier. An authenticated user who can influence such an identifier may delete all embedded documents in a targeted record or overwrite an embedded document other than the intended target.

Details NVD