Mittel24 / 100Konfidenz: Mittel

CVSS7.6EPSS0.5 %Über Netz erreichbarOhne Zutun des Nutzers

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 7.6+14
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-114644, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Zwei unabhaengige Herausgeber berichten den Sachverhalt
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-26 00:00 UTCMethodik

Multiples vulnérabilités dans les produits MongoDB (26 octobre 2026)

CERT-FR·26. Oktober 2026, 00:00

Originalartikel lesen bei CERT-FR

Es wurden mehrere Schwachstellen in MongoDB-Produkten entdeckt, die Angreifern die Ausführung beliebigen Codes sowie die Beeinträchtigung der Datenvertraulichkeit und -integrität ermöglichen. Betroffen sind verschiedene Versionen des C Drivers, C# Drivers, Compass und libmmongocrypt. Nutzer sollten umgehend die vom Hersteller bereitgestellten Sicherheitspatches installieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Die Schwachstellen könnten zur Ausführung von beliebigem Code, zur Kompromittierung der Datenvertraulichkeit und -integrität sowie zur Umgehung von Sicherheitsrichtlinien führen. Dies stellt ein erhebliches Risiko für die Datensicherheit und den Betrieb dar.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die vollständige Kontrolle über betroffene Systeme erlangen, sensible Daten exfiltrieren oder manipulieren und Dienste durch Denial-of-Service-Angriffe unterbrechen.

Empfehlung: Umgehend die vom Hersteller bereitgestellten Sicherheitspatches für alle betroffenen MongoDB-Produkte (C Driver, C# Driver, Compass, libmmongocrypt) installieren.

Key Facts· 12 / 14

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-114648

CVSS: 7.6 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114649

CVSS: 6.8 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-115929

CVSS: 6.8 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114654

CVSS: 6.5 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114652

CVSS: 6.5 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114646

CVSS: 6.5 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114653

CVSS: 6.5 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114644

CVSS: 5.9 · MEDIUM
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114655

CVSS: 5.9 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114650

CVSS: 5.9 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114643

CVSS: 5.4 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-114645

CVSS: 5.2 · MEDIUM
EPSS: 0.2%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

Betroffen

Organisationen, die MongoDB-Produkte wie C Driver, C# Driver, Compass und libmmongocrypt in ihren Systemen einsetzen.

Prüfen

▸Überprüfen Sie alle eingesetzten MongoDB-Produkte auf die betroffenen Versionen (C Driver, C# Driver, Compass, libmmongocrypt).
▸Stellen Sie sicher, dass alle Sicherheitspatches des Herstellers für die identifizierten Produkte angewendet wurden.

▸ 1 weitere

▸Überwachen Sie Systemprotokolle auf ungewöhnliche Aktivitäten oder Anzeichen von Code-Ausführung in MongoDB-Umgebungen.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Genaue betroffene Versionsnummern der MongoDB-Produkte sind nicht im Artikel genannt.
▸Details zu den Angriffsvektoren oder der Komplexität der Ausnutzung sind nicht spezifiziert.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Angreifern die Ausführung beliebigen Codes“

T1485Data Destructionzugeordnet

„Beeinträchtigung der Datenvertraulichkeit und -integrität“

T1486Data Encrypted for Impactzugeordnet

„Beeinträchtigung der Datenvertraulichkeit und -integrität“

T1499Endpoint Denial of Servicezugeordnet

„Denial of Service“

T1562Impair Defenseszugeordnet

„Umgehung von Sicherheitsrichtlinien“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

19. Okt.CERT-FRKontext
Multiples vulnérabilités dans Juniper Networks Session Smart Router (19 octobre 2026)
23. Okt.The Hacker NewsKontext
URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-114648 CVE-2026-114649 CVE-2026-115929 CVE-2026-114654 CVE-2026-114652 CVE-2026-114646 CVE-2026-114653 CVE-2026-114644 CVE-2026-114655 CVE-2026-114650 CVE-2026-114643 CVE-2026-114645 CVE-2026-114647 CVE-2026-114651

Vollständigen Artikel lesen bei CERT-FR

Erwähnte CVEs (12)

CVE-2026-114648HIGH(7.6)

EPSS 0.3%

The MongoDB C# Driver does not neutralize dot and dollar characters in dictionary keys, field names and array-filter identifiers used in LINQ queries before placing them into the field paths it sends to the server. An application user whose input reaches these positions can redirect a query or update to fields the application did not name, which can expose other users' documents and widen updates beyond the intended data. Certain values can also write malformed fields that leave stored documents unreadable by the application until they are repaired.

Details NVD

CVE-2026-114649MEDIUM(6.8)

EPSS 0.2%

The MongoDB C# Driver compares TLS client certificates by issuer and serial number only when deciding whether two clients can share cached connections. In an application that creates clients from certificates supplied by different users, a user who provides a certificate copying another user's issuer and serial number, without that user's private key, can be given connections authenticated with the other user's certificate. Database operations can then run under the other user's identity, affecting the confidentiality and integrity of data that identity can access.

Details NVD

CVE-2026-115929MEDIUM(6.8)

EPSS 0.2%

MongoDB Compass relies on Electron, a third-party runtime that carries its own TLS root certificate store. This root certificate store has the recoverable eMudhra intermediate CA certificates. Issue is resolved by updating to Compass 1.53.1, which includes Electron 44.9.1.

Details NVD

CVE-2026-114654MEDIUM(6.5)

EPSS 0.3%

A numeric-type conversion flaw in the BSON handling library of the MongoDB C# Driver allows an out-of-range binary subtype value supplied through untrusted textual input to bypass the library's binary-element integrity checks. When such a value is later encoded, it is narrowed to a smaller wire representation, producing binary elements that misdeclare their type or length. An unauthenticated party able to supply text parsed by an affected application can cause it to emit and persist malformed binary data, which subsequent readers either reject with an error or silently interpret as shorter than the data that was validated.

Details NVD

CVE-2026-114652MEDIUM(6.5)

EPSS 0.3%

A data-query-logic neutralization weakness in the update-statement construction component of the MongoDB C# Driver can cause application-supplied values to be interpreted as query/update logic rather than as literal data. An application user who can influence the content of values that the application passes into the affected builder surface, without any special privilege beyond ordinary read-write application access, may cause stored data to be modified or removed in ways the application never intended. The result is unauthorized integrity impact on the affected application data; there is no direct loss of confidentiality or availability of the database service.

Details NVD

CVE-2026-114646MEDIUM(6.5)

EPSS 0.3%

A data-validation flaw exists in the BSON handling and binary serialization path of the MongoDB C# Driver. When an application constructs a raw or lazy BSON document object from externally supplied binary data, the driver does not verify that the size quantity declared inside that data matches the amount of data actually provided, and it copies the data onto the wire unchanged. An unauthenticated party who can supply binary content to such an application can thereby cause additional elements to be inserted into, or existing elements to be removed from, the database command the application issues, without needing any database credentials of their own. This can result in unauthorized modification of stored data and disclosure of data outside the intended scope of the application's request, bounded by the database privileges the application itself holds.

Details NVD

CVE-2026-114653MEDIUM(6.5)

EPSS 0.2%

A client-side encryption schema construction component in the MongoDB C# Driver places caller-supplied field identifiers into a position that is interpreted as a pattern expression, without normalizing or validating them. As a result, an application that designates certain fields for client-side field-level encryption may have the protection silently fail to apply, so data intended to be encrypted is stored and returned in cleartext; conversely, the rule may apply more broadly than intended. No user action is required to cause the condition, and any party with ordinary read access to the stored data — without possession of the encryption keys — can observe the unprotected values.

Details NVD

CVE-2026-114644MEDIUM(5.9)

EPSS 0.5%

The MongoDB C# Driver's BSON library contains an uncontrolled resource consumption weakness in its deserialization handling of one BSON value type. An application that deserializes untrusted content with the library retains data derived from that content for the lifetime of the process, with no limit on how much accumulates. An unauthenticated remote party who can cause such content to be deserialized can drive unbounded memory growth, exhausting the host application's available memory and denying service. There is no impact to confidentiality or integrity, and no MongoDB server component is affected.

Details NVD

CVE-2026-114655MEDIUM(5.9)

EPSS 0.3%

libmongocrypt builds requests to external key management services (AWS, Azure and GCP) by inserting values from key vault documents, KMS provider configuration and KMS responses into request lines, headers and signed request bodies without validating or encoding them for each context. A user with write access to the key vault collection can alter the structure of these requests, including adding members to request bodies and token claims that the library then signs with the application's credentials. This may result in key management operations being performed with parameters the application did not intend.

Details NVD

CVE-2026-114650MEDIUM(5.9)

EPSS 0.1%

A flaw in the client-side encryption support of the MongoDB .NET/C# driver can cause data designated for client-side field-level encryption to be written without encryption. Under certain platform text-encoding configurations, an internal name conversion loses information, so the encryption layer fails to associate the operation with its configured encryption rules and the operation proceeds without an error being raised. An application user with the ability to write data through an affected application can therefore have sensitive fields persisted in plaintext, defeating the confidentiality guarantee that client-side encryption is intended to provide. No integrity or availability impact was observed.

Details NVD

CVE-2026-114643MEDIUM(5.4)

EPSS 0.4%

The MongoDB C# Driver writes GeoJSON extra members without checking whether their names collide with reserved GeoJSON members such as type and coordinates. An application that places user-supplied field names into these extra members can store documents with duplicate geometry fields, so the server and the driver resolve different values for the same record. Affected records can also become unreadable through the driver, interrupting application code that reads them.

Details NVD

CVE-2026-114645MEDIUM(5.2)

EPSS 0.2%

A 32-bit integer wraparound in the MongoDB C Driver's Windows-only Kerberos/SSPI authentication code can cause an undersized heap buffer to be allocated when an excessively long credential value is supplied in the client's connection configuration. A party able to control that client-side configuration, in conjunction with the affected authentication mechanism, can cause the driver to write outside the bounds of the allocated buffer. This may result in corruption of client process memory and denial of service of the client application. The issue affects only client builds compiled with the Windows-native authentication backend.

Details NVD