MongoDB Server: Unzureichende Berechtigungsprüfung bei Sharded Views
Zusammenfassung
In geshardeten MongoDB-Deployments kann ein Benutzer mit grundlegenden Lese- und Schreibrechten auf einer Datenbank eine View definieren, deren Verarbeitung nicht vollständig auf Berechtigungen geprüft wird. Beim Lesen dieser View können Daten anderer Datenbanken auf demselben Shard offengelegt werden. Der Angreifer benötigt ein gültiges Konto, und die Schwachstelle ist nur bei Verwendung von Sharded Clusters relevant.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7 (Standardkonfiguration nicht betroffen)
- Versionen ausserhalb der 9.0.x-Linie: Unbekannt.
Behoben in
- MongoDB Server 9.0.7 (als Fix-Version im Jira-Ticket SERVER-137361 aufgeführt)
- Herstellerhinweis, der die Behebung bestätigt: Unbekannt.
Umgehung
- Keine Herstellermassnahme gefunden.
- Bis 9.0.7 eingesetzt ist, prüfen, welche Benutzer Schreibrechte auf Datenbanken im Cluster besitzen, und diese auf das nötige Minimum beschränken.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Nicht im Katalog CISA KEV aufgeführt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Sharded MongoDB-Cluster und deren 9.0.x-Versionen identifizieren.
- Ein Upgrade auf MongoDB 9.0.7 oder neuer einplanen.
- Schreibrollen auf gemeinsam genutzten Clustern einschränken und Datenbankkonten überprüfen.
- MongoDB vom Internet fernhalten und den Netzwerkzugriff auf den Datenbankport beschränken.
- Jira-Ticket und MongoDB-Sicherheitsmitteilungen auf Bestätigung und weitere betroffene Linien prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-120826 www.cve.org
- MongoDB Jira ticket SERVER-137361 jira.mongodb.org
- MongoDB 9.0 release notes www.mongodb.com
- MongoDB 9.0.7 announcement www.mongodb.com
- Strix CVE-2026-120826 www.strix.ai
- OffSeq threat summary radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.