CVE-2026-18712— MongoDB Queryable Encryption 维护操作存在越权修改其他集合漏洞
影响版本矩阵 3
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| MongoDB | MongoDB Server | 8.3.0< 8.3.8 | affected |
8.0< 8.0.29 | affected | ||
7.0< 7.0.40 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-18712 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Improper Authorization in MongoDB Queryable Encryption Maintenance Operations Allows Unauthorized Modification of Other Collections
来源: CVE Program / CVE List V5
Vulnerability Description
An issue in MongoDB Server's Queryable Encryption maintenance operations could allow an authenticated user with privileges on one encrypted collection to cause unauthorized modification or destruction of data belonging to a different collection. This is due to insufficient validation of certain internal metadata references before they are used to perform operations on other namespaces.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| MongoDB | MongoDB Server | 8.3.0 ~ 8.3.8 | - |
二、漏洞 CVE-2026-18712 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-18712 的情报信息
请登录查看更多情报信息。
CVE-2026-18712 补丁与修复 (1)
同批安全公告 · MongoDB · 2026-08-11 · 共 25 条
| CVE-2026-18691 | 8.8 HIGH | MongoDB 集群内连接身份验证不当导致凭证泄露漏洞 |
| CVE-2026-18692 | 8.8 HIGH | MongoDB 时序桶处理漏洞导致拒绝服务及潜在远程代码执行 |
| CVE-2026-18690 | 8.1 HIGH | MongoDB Server 系统集合未授权访问漏洞 |
| CVE-2026-18693 | 7.6 HIGH | MongoDB 时序数据桶处理越界读写致DoS及内存泄露 |
| CVE-2026-18697 | 7.5 HIGH | MongoDB 聚合框架输入验证不当导致拒绝服务漏洞 |
| CVE-2026-18687 | 7.1 HIGH | MongoDB 可查询加密维护操作验证不当导致拒绝服务和索引损坏 |
| CVE-2026-18694 | 7.1 HIGH | MongoDB 空间查询越界读取导致拒绝服务和内存泄露漏洞 |
| CVE-2026-18711 | 7.1 HIGH | MongoDB查询引擎释放后使用漏洞，导致拒绝服务和潜在内存泄露 |
| CVE-2026-18688 | 7.1 HIGH | MongoDB聚合框架越界读取导致拒绝服务及内存泄露漏洞 |
| CVE-2026-18706 | 6.6 MEDIUM | MongoDB $graphLookup 阶段使用后释放漏洞 |
| CVE-2026-18710 | 6.5 MEDIUM | MongoDB 驱动客户端初始化时日志明文存储敏感信息漏洞 |
| CVE-2026-18699 | 6.5 MEDIUM | MongoDB 查询规划器不当输入验证导致拒绝服务漏洞 |
| CVE-2026-18696 | 6.5 MEDIUM | MongoDB applyOps 命令处理不当导致未授权 DDL 操作漏洞 |
| CVE-2026-18705 | 6.5 MEDIUM | MongoDB Atlas向量搜索权限配置不当致未授权访问 |
| CVE-2026-18701 | 6.5 MEDIUM | MongoDB 查询子系统类型混淆导致拒绝服务漏洞 |
| CVE-2026-18704 | 6.5 MEDIUM | MongoDB Aggregation Framework 越权写入漏洞 |
| CVE-2026-18700 | 6.5 MEDIUM | MongoDB 地理空间验证后释放导致拒绝服务漏洞 |
| CVE-2026-18695 | 6.5 MEDIUM | MongoDB 时序查询处理漏洞导致拒绝服务 |
| CVE-2026-18709 | 6.4 MEDIUM | MongoDB 分片事务提交/中止缺少授权导致跨分片数据不一致 |
| CVE-2026-18702 | 6.4 MEDIUM | MongoDB profile命令存在不恰当授权漏洞 |
显示前 20 条，共 25 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-18712
暂无评论