CVE-2026-13059— 角色基于访问控制绕过：客户端提供的命令参数未正确验证
可能的 ATT&CK 技术 1AI
T1530 · Data from Cloud Storage影响版本矩阵 4
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| MongoDB | MongoDB Server | 7.0< 7.0.39 | affected |
8.0< 8.0.28 | affected | ||
8.2.0< 8.2.12 | affected | ||
8.3.0< 8.3.7 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-13059 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Improper Validation of Client-Supplied Command Parameters Allowing Role-Based Access Control Bypass
来源: CVE Program / CVE List V5
Vulnerability Description
An authenticated user with low privileges may be able to perform unauthorized reads and writes on data protected by role-based query-level access controls, due to insufficient validation of certain client-supplied command parameters. The issue affects find, update, delete, and aggregate commands in non-apiStrict configurations.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在安全决策中依赖未经信任的输入
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| MongoDB | MongoDB Server | 7.0 ~ 7.0.39 | - |
二、漏洞 CVE-2026-13059 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-13059 的情报信息
请登录查看更多情报信息。
CVE-2026-13059 补丁与修复 (1)
同批安全公告 · MongoDB · 2026-07-22 · 共 26 条
| CVE-2026-13072 | 8.1 HIGH | MongoDB 计算模式下外部数据输入验证缺陷导致内存损坏 |
| CVE-2026-14881 | 7.8 HIGH | Compass OIDC 认证任意命令执行漏洞 |
| CVE-2026-13078 | 7.7 HIGH | MongoDB Server 本地文件泄露漏洞 |
| CVE-2026-13077 | 7.1 HIGH | BSON代码WScope元素解析越界堆读取漏洞 |
| CVE-2026-13058 | 7.1 HIGH | 交易命令输入验证不足导致进程终止 |
| CVE-2026-13060 | 6.5 MEDIUM | MongoDB $graphLookup 授权检查不一致导致未授权集合访问 |
| CVE-2026-13066 | 6.5 MEDIUM | Server-Side JavaScript DBPointer BSON序列化内存泄露漏洞 |
| CVE-2026-13075 | 6.5 MEDIUM | rankFusion 和 scoreFusion 错误建议生成中的未受限制内存分配漏洞 |
| CVE-2026-13065 | 6.5 MEDIUM | MongoDB $linearFill 窗口函数输入验证不当导致进程终止漏洞 |
| CVE-2026-13055 | 6.5 MEDIUM | MongoDB 聚合管道表达式致服务器崩溃漏洞 |
| CVE-2026-13069 | 6.5 MEDIUM | Queryable Encryption FLE2 缺少输入验证导致资源耗尽漏洞 |
| CVE-2026-13062 | 6.5 MEDIUM | MongoDB mongos 分片集群可查询加密写命令内部标志验证不当 |
| CVE-2026-9737 | 6.5 MEDIUM | Find命令因$meta排序可导致崩溃 |
| CVE-2026-13064 | 6.5 MEDIUM | MongoDB $jsonSchema查询操作符导致拒绝服务漏洞 |
| CVE-2026-13076 | 6.5 MEDIUM | MongoDB聚合框架内存耗尽导致进程终止漏洞 |
| CVE-2026-13056 | 6.5 MEDIUM | Apache HTTP Server 远程内存耗尽漏洞 |
| CVE-2026-13071 | 6.5 MEDIUM | 服务器端JavaScript聚合表达式内存安全问题导致进程终止 |
| CVE-2026-13067 | 6.3 MEDIUM | tlsCATrusts PROXY v2 Unix域套接字角色限制绕过 |
| CVE-2026-13070 | 5.3 MEDIUM | TLS握手期间OCSP响应验证不当导致进程终止漏洞 |
| CVE-2026-13057 | 5.3 MEDIUM | $$SEARCH_META 绕过客户端数据授权泄露漏洞 |
显示前 20 条，共 26 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-13059
暂无评论