Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-118383 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | MongoDB |
| Produkt | MongoDB Server |
| Typ podatności | use-after-free (CWE-416) |
| CVSS Score | 9.0 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, MongoDB
W komponencie replikacji MongoDB Server może wystąpić błąd use-after-free, gdy nowo wybrany węzeł primary w replica set kończy fazę nadrabiania (catch-up). Stan ten mogą wywołać żądania niewymagające uwierzytelnienia; skutkiem może być nieoczekiwane zakończenie pracy serwera lub — w określonych warunkach — wykonanie dowolnego kodu w kontekście procesu serwera. Podatni są członkowie replica set, w tym członkowie replica set shardów i serwerów konfiguracyjnych w klastrach shardowanych; samodzielne instancje mongod nie są podatne.
Wysoka złożoność ataku (AC:H w wektorze CVSS) oznacza, że atakujący musi trafić w moment wyboru nowego primary, ale nie potrzebuje do tego poświadczeń.
Wymagane działania
- Zaktualizuj MongoDB Server do wersji z poprawką wskazanej w zgłoszeniach MongoDB (SERVER-138119, SERVER-138175).
- Ogranicz dostęp sieciowy do portów MongoDB (domyślnie 27017/TCP) wyłącznie do serwerów aplikacyjnych — baza nie powinna być osiągalna z internetu.
- W przypadku MongoDB Atlas sprawdź komunikaty dostawcy o aktualizacji klastrów.
Kogo dotyczy?
Podatność dotyczy MongoDB Server działającego w trybie replica set, w tym klastrów shardowanych. Samodzielne instancje mongod nie są podatne. MongoDB jest popularną bazą w aplikacjach webowych, e-commerce i systemach analitycznych.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-118383?
CVE-2026-118383 to podatność use-after-free (CWE-416) w komponencie replikacji MongoDB Server, mogąca prowadzić do awarii serwera lub wykonania kodu. Ocena CVSS: 9.0.
Czy do wykorzystania CVE-2026-118383 potrzebne jest uwierzytelnienie?
Nie. Stan błędu mogą wywołać żądania niewymagające uwierzytelnienia, choć atak ma wysoką złożoność.
Jak zabezpieczyć się przed CVE-2026-118383?
Zaktualizować MongoDB Server do wersji z poprawką i ograniczyć dostęp sieciowy do portów bazy.
Kogo dotyczy CVE-2026-118383?
Organizacji korzystających z MongoDB Server w konfiguracji replica set lub klastra shardowanego.
