CVE.org (no NVD analysis yet)· CNA mongodb

CVE-2026-118383: Pre-authentication use-after-free in MongoDB Server replica set primary catch-up

КритическаяCVSS 9.5 · v4.0—Есть PoC Есть исправление

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 38/100)

Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 0,71% (FIRST EPSS); выше, чем у 54,1% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
Исправленная версия: MongoDB MongoDB Server 4.4.32, 5.0.35, 6.0.30.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь до MongoDB MongoDB Server 4.4.32, 5.0.35, 6.0.30 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

A use-after-free in the replication component of MongoDB Server can occur when a newly elected replica set primary completes catch-up. The condition can be caused by requests that do not require authentication, and may result in the server terminating unexpectedly or, under certain conditions, arbitrary code execution in the context of the server process. Replica set members are affected, including the shard and config server replica set members of sharded clusters; standalone mongod instances are not.

EUVD-2026-122846

Опубликовано: 10 нояб. 2026 г.
Обновлено: 10 нояб. 2026 г.
EPSS: 0,7 % · 54-й процентиль
CWE: CWE-416

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 38 / 40 · 9.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,7 %

Оценка CNA и NVD

NVD: —
CNA · mongodb: 9,5; NVD ещё не выставил свою оценку; показана оценка CNA.

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (mongodb). Не зависят от анализа CPE в NVD и обычно опережают его.

MongoDB MongoDB Server
- 9.0.0 и новее · до 9.0.7затронута · semver
- 8.3.0 и новее · до 8.3.16затронута · semver
- 8.0.0 и новее · до 8.0.37затронута · semver
- 7.0.0 и новее · до 7.0.48затронута · semver
- 6.0.0 и новее · до 6.0.30затронута · semver
- 5.0.0 и новее · до 5.0.35затронута · semver
- 4.4.0 и новее · до 4.4.32затронута · semver

Тот же продукт

mongodb: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-120808Certificate Validation Bypass via IPv6 trust-result skip in macOS TLS client
36Наблюдать
CVE-2026-120828Memory exhaustion via abandoned far-future read-concern waiters in disaggregated storage
34Наблюдать
CVE-2026-120824Post-authentication use-after-free in MongoDB Server time-series bucket validation
34Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-12081410 нояб. 2026 г. · MultiUpdateCoordinator state replay lets a shard administrator create a persistent cluster root user
30Наблюдать
← РаньшеCVE-2026-12081510 нояб. 2026 г. · Incorrect Authorization Check in MongoDB Server Localhost Exception Leads to Unauthorized Administrative Access
34Наблюдать
Позже →CVE-2026-12081610 нояб. 2026 г. · System collection contents readable through a database change stream with showSystemEvents
9Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
MongoDB MongoDB Server	4.4.32	Вендор (CNA)
MongoDB MongoDB Server	5.0.35	Вендор (CNA)
MongoDB MongoDB Server	6.0.30	Вендор (CNA)
MongoDB MongoDB Server	7.0.48	Вендор (CNA)
MongoDB MongoDB Server	8.0.37	Вендор (CNA)
MongoDB MongoDB Server	8.3.16	Вендор (CNA)
MongoDB MongoDB Server	9.0.7	Вендор (CNA)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	stars:0	2026-11-11

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация10 нояб. 2026 г.
Исправление10 нояб. 2026 г.в тот же день
Первый PoC11 нояб. 2026 г.в тот же день
Сегодня12 нояб. 2026 г.+2 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-120824с разницей 0 дн.Post-authentication use-after-free in MongoDB Server time-series bucket validation
34Наблюдать
CVE-2026-120803с разницей 0 дн.MongoDB SBE $locf Window Accumulator Use-After-Free Enables Heap OOB Read and Server Crash
28Наблюдать
CVE-2026-120818с разницей 0 дн.Use-After-Free in MongoDB Server JavaScript Support for Aggregation Leads to Information Disclosure
28Наблюдать
CVE-2026-120821с разницей 0 дн.Post-authentication use-after-free in MongoDB Server aggregation sub-pipelines
28Наблюдать
CVE-2026-120809с разницей 0 дн.Heap use-after-free read via yield-time state save in time-series block unpacking
24Наблюдать
CVE-2026-120811с разницей 0 дн.Use-After-Free in MongoDB Server Classic Query Engine Plan Cache Leads to Information Disclosure and Denial of Service
24Наблюдать

Охват bug bounty

MongoDBHackerOne · с вознаграждением

Вендор продукта присутствует в публичной программе. Сопоставление по имени; проверьте текст scope в программе.

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-26-1505 · 11 нояб. 2026 г.(MongoDB Güvenlik Bildirimi)

Все национальные уведомления →

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
Целостность
Доступность

Вектор атаки: Сеть
Сложность атаки: Высокая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: X

Класс уязвимости (CWE)

CWE-416 · Use After Free

Вектор CVSS

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

nvd-secondary

Первопричина

После освобождения области памяти продолжает использоваться другая ссылка на неё. К этому моменту та же область может быть выделена под другие данные.

Ошибка в коде

Весь класс CWE-416

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1free(dev->buf);
2/* ... другой поток всё ещё работает ... */
3process(dev->buf);

Исправленный код

1lock(&dev->lock);
2free(dev->buf);
3dev->buf = NULL;
4unlock(&dev->lock);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.

Журнал изменений

Зрелость эксплойтаnone → poc12 нояб. 2026 г., 03:37 UTC
Зрелость эксплойта— → none10 нояб. 2026 г., 22:07 UTC
Исправление✗ → ✓10 нояб. 2026 г., 22:07 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

jira.mongodb.org/browse/SERVER-138119

Показать все источники (ещё 1)

jira.mongodb.org/browse/SERVER-138175

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: mongodb

CVE.org (CNA)10 нояб. 2026 г., 20:23 UTC
NVD10 нояб. 2026 г., 22:08 UTC
FIRST EPSS11 нояб. 2026 г., 00:00 UTC
PoC-in-GitHub12 нояб. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.