MongoDB Server: Fehlende Autorisierung bei Aggregations-Views

Zusammenfassung

MongoDB Server in den Versionen 9.0.0 bis vor 9.0.7 prüft bei der Validierung einer View-Definition nicht alle Teile einer Aggregations-Pipeline. Ein authentifizierter Benutzer mit nur grundlegenden Datenbankrechten kann so eine View erstellen, die Collection-Daten liefert, die er nicht lesen darf. Laut CNA-Beschreibung können dabei gespeicherte Authentifizierungsdaten offengelegt werden. Die Jira-Tickets enthalten Reproduktionsschritte, und für einen Angriff ist ein gültiger Datenbank-Login nötig.

Betroffen

• MongoDB Server 9.0.0 bis vor 9.0.7 (gemäss CNA-Eintrag)
• Andere Versionszweige (8.x, 7.x und älter): Unbekannt.

Behoben in

• MongoDB Server 9.0.7 (als Fix-Version in SERVER-136876 und SERVER-136878 aufgeführt)
• Die Fix-Versionen 9.1.0-rc0 und 9.1.0-rc1025 sind in SERVER-136876 ebenfalls aufgeführt.

Umgehung

Unbekannt. Vom Hersteller wurde kein Workaround veröffentlicht.

• Nur als Übergangslösung, nicht von MongoDB: Datenbankrechte der Benutzer einschränken und Konten prüfen, die Views erstellen oder Aggregationen ausführen können.

Ausnutzung

• In den geprüften Quellen ist keine Ausnutzung bekannt.
• Nicht gegen den CISA-KEV-Katalog geprüft.
• In den Suchen wurde kein öffentlicher Proof of Concept gefunden, das Jira-Ticket SERVER-136876 enthält jedoch Reproduktionsschritte.

Unsere Empfehlung

• MongoDB Server auf 9.0.7 oder neuer aktualisieren.
• Betroffene Versionszweige anhand der Jira-Tickets SERVER-136876 und SERVER-136878 vor der Ausrollung bestätigen und nicht davon ausgehen, dass andere Zweige sicher sind.
• Konten mit Rollen zur View-Erstellung oder Aggregation prüfen und nicht benötigte Rollen entfernen.
• Die Erstellung von Views überwachen und protokollieren.
• Falls Zugangsdaten offengelegt worden sein könnten, diese ersetzen und andere Systeme prüfen, die dieselben Zugangsdaten nutzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-120825 www.cve.org
• MongoDB Jira SERVER-136876 jira.mongodb.org
• MongoDB Jira SERVER-136878 jira.mongodb.org
• Strix CVE-2026-120825 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:04.