Mittel25 / 100Konfidenz: Mittel

CVSS8.6EPSS0.4 %Ohne Anmeldung

Alle betroffenen MongoDB-Produkte und -Treiber müssen umgehend auf die neuesten, gepatchten Versionen aktualisiert werden.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.6+15
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-119179, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-11-04 12:49 UTCMethodik

[NEU] [mittel] MongoDB (EF Core Provider, Atlas SQL, C Treiber, Rust Treiber, Database Tools und Node.js Treiber): Mehrere Schwachstellen

CERT-Bund·4. November 2026, 12:49

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in verschiedenen MongoDB-Produkten und -Treibern ermöglichen Angreifern Denial-of-Service-Angriffe, Informationslecks und Dateimanipulationen. Betroffen sind diverse Versionen von Atlas SQL, C Treiber, Database Tools, EF Core Provider, Node.js Treiber und Rust Treiber auf Linux, UNIX und Windows. Nutzer sollten umgehend die betroffenen Komponenten auf die neuesten Versionen aktualisieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen können zu Dienstunterbrechungen, unbefugter Offenlegung sensibler Daten und Manipulation von Dateien führen, was die Datenintegrität und -verfügbarkeit gefährdet.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer durch Denial-of-Service-Angriffe kritische Datenbankdienste lahmlegen und durch Informationslecks sensible Daten exfiltrieren oder manipulieren.

Key Facts· 12 / 15

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-119675

CVSS: 8.6 · HIGH
EPSS: 0.2%
Über das Netz: nein
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120678

CVSS: 7.5 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120955

CVSS: 7.5 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120952

CVSS: 7.1 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120956

CVSS: 7.1 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-119179

CVSS: 7.0 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120684

CVSS: 6.5 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120673

CVSS: 5.5 · MEDIUM
EPSS: 0.1%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120567

CVSS: 5.4 · MEDIUM
EPSS: 0.1%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-119672

CVSS: 4.8 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120953

CVSS: 4.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

CVE-2026-120954

CVSS: 3.7 · LOW
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Integrität
Patch: unbekannt
Zuweisende CNA: cna@mongodb.com

Betroffen

Diverse Versionen von MongoDB Atlas SQL, C Treiber, Database Tools, EF Core Provider, Node.js Treiber und Rust Treiber auf Linux, UNIX und Windows sind betroffen.

Prüfen

▸Überprüfen Sie die Versionen aller eingesetzten MongoDB-Produkte und -Treiber (Atlas SQL, C Treiber, Database Tools, EF Core Provider, Node.js Treiber, Rust Treiber).
▸Stellen Sie sicher, dass alle MongoDB-Komponenten auf die neuesten verfügbaren Versionen aktualisiert wurden.

▸ 1 weitere

▸Überwachen Sie Systemprotokolle auf ungewöhnliche Aktivitäten, die auf Denial-of-Service-Angriffe oder unbefugten Datenzugriff hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der Schwachstellen sind nicht im Artikel genannt.
▸Die genauen Auswirkungen der Dateimanipulationen sind nicht detailliert beschrieben.
▸Es wird nicht spezifiziert, ob die Schwachstellen aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1490Inhibit System Recoveryzugeordnet

„Dateimanipulationen“

T1499Denial of Servicezugeordnet

„ermöglichen Angreifern Denial-of-Service-Angriffe“

T1530Data from Cloud Storagezugeordnet

„Informationslecks“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [mittel] MongoDB (EF Core Provider, Atlas SQL, C Treiber, Rust Treiber, Database Tools und Node.js Treiber): Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-119675 CVE-2026-120678 CVE-2026-120955 CVE-2026-120952 CVE-2026-120956 CVE-2026-119179 CVE-2026-120684 CVE-2026-120673 CVE-2026-120567 CVE-2026-119672 CVE-2026-120953 CVE-2026-120954 CVE-2026-120959 CVE-2026-119674 CVE-2026-119673

Themen

mittel

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-119675HIGH(8.6)

EPSS 0.2%

MongoDB Database Tools mongorestore inconsistently handles the system.buckets. prefix when validating collection names in an untrusted dump. A specially crafted collection name can bypass special-collection guards and operator namespace filters, causing a restore to create an unauthorized user-chosen database account, including an account with the root role. Exploitation requires an operator to restore unauthorized user-controlled data using credentials with sufficient user-management privileges on the destination deployment. Excluding the admin namespace alone does not prevent this behavior. This issue affects MongoDB Database Tools versions 100.4.0 through versions before 100.20.1.

Details NVD

CVE-2026-120678HIGH(7.5)

EPSS 0.4%

A memory management flaw in the MongoDB C Driver's handling of compressed responses may cause the client library to hold on to memory that is never released. An unauthenticated party that controls the database endpoint a client application connects to may cause repeated, unbounded memory growth in that application, which may result in the application becoming unavailable. No credentials, transport security settings, or user interaction are required.

Details NVD

CVE-2026-120955HIGH(7.5)

EPSS 0.4%

The GridFS file download API in the MongoDB C Driver does not check the result of an internal operation under certain error conditions during file retrieval. This can cause the process to terminate when stream operations continue. A user who can influence file download parameters can trigger this condition, which may result in service unavailability for applications using the affected API.

Details NVD

CVE-2026-120952HIGH(7.1)

EPSS 0.4%

An out-of-bounds write in the MongoDB Atlas SQL ODBC Driver may be triggered when a value of a particular database type is retrieved into a fixed-width client-side target. The driver produces a textual form of the value that is longer than the fixed target the ODBC interface defines, and copies it without limiting the copy to the target's real size. A database user with basic write privileges can influence part of the data written outside the target, which may corrupt memory in the application using the driver and cause that application to terminate unexpectedly.

Details NVD

CVE-2026-120956HIGH(7.1)

EPSS 0.3%

The MongoDB C Driver does not validate the type or format of a namespace field returned by the server in a query response. A MongoDB endpoint that a client application connects to, without needing any credentials, can return a malformed value in that field. This causes the client application process to terminate, and can also cause the driver to read memory outside an allocated buffer and to send a small amount of the application's own uninitialized heap memory back to the endpoint in a follow-up command. The impact is limited to the process that embeds the driver.

Details NVD

CVE-2026-119179HIGH(7.0)

EPSS 0.3%

A flaw in the connection management layer of the MongoDB Node.js driver can leave a pooled network connection in the pool for reuse while data from an earlier operation is still outstanding on it. In applications that enable an optional client-side operation timeout, an unauthenticated party that can send ordinary requests to the application may cause database replies to be paired with the wrong requests. This may result in unintended disclosure of other users' records, incorrect operation results being returned, and failures of legitimate requests.

Details NVD

CVE-2026-120684MEDIUM(6.5)

EPSS 0.3%

A memory-initialization flaw in the legacy GridFS file handling of the MongoDB C Driver can cause uninitialized process memory to be treated as valid file content and stored on the server. A database user holding ordinary write access to a shared storage area can arrange conditions under which an application later appends to such a file and writes that memory into records the same user is permitted to read, which may result in unintended disclosure of sensitive information from the application's process, including credentials.

Details NVD

CVE-2026-120673MEDIUM(5.5)

EPSS 0.1%

A component of the MongoDB Rust Driver that records diagnostic tracing data can capture command content before automatic client-side field level encryption is applied. In deployments that turn on the optional tracing capability together with automatic in-use encryption, a party with read access to the application's exported trace data may obtain field values that the application designated for encryption, without access to the encryption keys. This may result in unintended disclosure of data.

Details NVD

CVE-2026-120567MEDIUM(5.4)

EPSS 0.1%

The MongoDB Entity Framework Core provider does not neutralize special elements in values passed to SetProperty when an ExecuteUpdate call also contains a setter that reads the entity being updated. In that case the update is sent as an aggregation pipeline, and a caller-supplied string beginning with $ is evaluated as an expression rather than stored as data. A party who can influence such a value may modify or remove fields in the records being updated, or copy other fields of the same record into them.

Details NVD

CVE-2026-119672MEDIUM(4.8)

EPSS 0.2%

MongoDB Database Tools mongofiles uses a database-stored GridFS filename as the output destination for get_id when --local is not specified. A user who can modify the file metadata can set the stored filename to '-', causing a later authorized retrieval to write the file contents to standard output instead of a local file. If standard output is captured in a location accessible to that user, this may disclose GridFS content the user cannot read directly. Exploitation requires a higher-privileged operator to retrieve the affected file without an explicit local destination and attacker access to the captured output. This issue affects MongoDB Database Tools from version 3.1.4 through versions before 100.20.1.

Details NVD

CVE-2026-120953MEDIUM(4.3)

EPSS 0.2%

A URI redirection weakness exists in the authentication component of the Atlas SQL JDBC Driver. During an interactive sign-in flow the driver accepts endpoint addresses supplied by the remote endpoint it is pointed at without validating their scheme, and passes the resulting address to the local default protocol handler. An unauthenticated remote party that controls the endpoint a user elects to connect to may cause an address of its choosing to be opened on the user's system; user interaction is required.

Details NVD

CVE-2026-120954LOW(3.7)

EPSS 0.2%

A weakness in the BSON library's handling of a specialized binary vector data type allows an arithmetic wraparound when computing the number of elements described by an oversized attacker-supplied value. On builds where the platform word size is 32 bits, an application that parses untrusted BSON data can be made to process only a small fraction of the supplied elements while the operation reports success, producing results that disagree with byte-oriented accessors and with 64-bit builds of the same library. No authentication or user interaction is required beyond getting the application to parse the data. The impact is limited to data integrity; memory safety is not affected and no information is disclosed.

Details NVD