Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Патч
Опубликована

CVE-2026-8053

FlatBSON Duplicate Field Index Drift

Публикация: 13.05.2026·Обновлена: 26.10.2026, 21:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An issue in MongoDB Server's time-series collection implementation allows an authenticated user with database write privileges to trigger an out-of-bounds memory write in the mongod process. The issue results from an inconsistency in the internal field-name-to-index mapping within the time-series bucket catalog. Under certain conditions this can result in arbitrary code execution. This issue impacts MongoDB Server v5.0 versions prior to 5.0.33, v6.0 versions prior to 6.0.28, v7.0 versions prior to 7.0.34, v8.0 versions prior to 8.0.23, v8.2 versions prior to 8.2.9 and v8.3 versions prior to 8.3.2.

Что это значит

Компонент может записать данные за границами выделенной памяти. Последствия зависят от условий атаки и прав процесса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

MongoDB, Inc. / MongoDB Server 

{
  "status": "affected",
  "version": "5.0",
  "lessThan": "5.0.33",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "6.0",
  "lessThan": "6.0.28",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "7.0",
  "lessThan": "7.0.34",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "8.0",
  "lessThan": "8.0.23",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "8.2",
  "lessThan": "8.2.9",
  "versionType": "custom"
}
{
  "status": "affected",
  "version": "8.3",
  "lessThan": "8.3.2",
  "versionType": "custom"
}

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.0.33",
  "versionStartIncluding": "5.0.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.0.28",
  "versionStartIncluding": "6.0.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "7.0.34",
  "versionStartIncluding": "7.0.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "8.0.23",
  "versionStartIncluding": "8.0.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "8.2.9",
  "versionStartIncluding": "8.2.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

mongodb / mongodb 

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "8.3.2",
  "versionStartIncluding": "8.3.0"
}
cpe:2.3:a:mongodb:mongodb:*:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 4.0 · cve8.7
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиинизкие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системывысокое
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет
CVSS 3.1 · cve8.8
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое
CVSS 4.0 · cna@mongodb.com8.7
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиинизкие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системывысокое
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет
E · Eзначение X; см. спецификацию CVSS
CR · CRзначение X; см. спецификацию CVSS
IR · IRзначение X; см. спецификацию CVSS
AR · ARзначение X; см. спецификацию CVSS
MAV · MAVзначение X; см. спецификацию CVSS
MAC · MACзначение X; см. спецификацию CVSS
MAT · MATзначение X; см. спецификацию CVSS
MPR · MPRзначение X; см. спецификацию CVSS
MUI · MUIзначение X; см. спецификацию CVSS
MVC · MVCзначение X; см. спецификацию CVSS
MVI · MVIзначение X; см. спецификацию CVSS
MVA · MVAзначение X; см. спецификацию CVSS
MSC · MSCзначение X; см. спецификацию CVSS
MSI · MSIзначение X; см. спецификацию CVSS
MSA · MSAзначение X; см. спецификацию CVSS
S · Область воздействиязначение X; см. спецификацию CVSS
AU · AUзначение X; см. спецификацию CVSS
R · Rзначение X; см. спецификацию CVSS
V · Vзначение X; см. спецификацию CVSS
RE · REзначение X; см. спецификацию CVSS
U · Uзначение X; см. спецификацию CVSS
CVSS 3.1 · cna@mongodb.com8.8
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьвысокое

Классы CWE

CWE-787 · Запись за границами выделенной памяти

Источники и ссылки

Исправление · jira.mongodb.org · nvdCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:42.594743+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:41:24.564592+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:41:24.564592+00:00"
  },
  "affected": [
    "cve",
    "nvd"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:41:24.564592+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:15:42.594743+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:41:24.564592+00:00"
  },
  "workarounds": [],
  "configurations": [
    "nvd"
  ]
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:15
  2. Данные обновлены03.11.2026, 00:15
  3. Данные обновлены02.11.2026, 00:13
  4. Данные обновлены31.10.2026, 12:00
  5. Данные обновлены28.10.2026, 22:41
  6. Данные обновлены28.10.2026, 18:07
  7. Появились сведения об исправлении28.10.2026, 15:14

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-8063
Post-auth null pointer dereference when aggregating against a view with empty search pipeline
MongoDB Inc. / MongoDB Server · mongodb / mongodb
Высокий7.1
0,23 %
Патч
07.05.2026
CVE-2026-6915
Flaw in the updateUser Command May Allow Unauthorized Configuration Change
MongoDB / MongoDB Server · mongodb / mongodb
Средний5.3
0,17 %
Патч
29.04.2026
CVE-2026-6914
MD5 checksum creation may cause availability loss
MongoDB / MongoDB Server · mongodb / mongodb
Высокий7.1
0,26 %
Патч
29.04.2026
CVE-2026-8199
Post-auth memory exhaustion via bitwise match expressions
MongoDB, Inc. / MongoDB Server · mongodb / mongodb
Высокий7.1
0,26 %
13.05.2026
CVE-2026-8200
Schema validation log messages may not redact user data
MongoDB, Inc. / MongoDB Server · mongodb / mongodb
Средний4.8
0,2 %
13.05.2026
CVE-2026-8053: FlatBSON Duplicate Field Index Drift · CVE Радар