Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je z důvodu nesprávného vyhodnocení počtu souborů při jejich dávkovém odstraňování umožněno způsobit selhání serveru [1].

Zranitelnost se nachází v produktu:

• MongoDB Server; >=7.0, <7.0.26; >=8.0, <8.0.13; >=8.1, <8.1.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2025-13644 na cve.org, NVD
• CWE-617: Reachable Assertion na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 11. 2025.

Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je umožněno zneužít chybnou kontrolu velikosti objektů při zpracování časových řad v MongoDB Serveru a odeslat příliš velký BSON dokument, což může způsobit ukončení procesu [2].

Zranitelnost se nachází v produktu:

• MongoDB Server; >=7.0, <7.0.26; >=8.0, <8.0.16; >=8.2, <8.2.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2025-13507 na cve.org, NVD
• CWE-1284: Improper Validation of Specified Quantity in Input na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 11. 2025.

Autentizovanému lokálnímu útočníkovi, který může odesílat bulk operace do mongodb/mongodb-extension (rozšíření, které používá MongoDB C Driver a MongoDB PHP Driver), je umožněno zneužít nesprávné zpracování nadměrně velkých parametrů (mongoc_bulk_operation_t), což může způsobit čtení neplatné paměti a tím pádem selhání aplikace nebo potenciální odhalení citlivých údajů [3].

Zranitelnost se nachází v produktech:

• mongo-c-driver; >=1.9.0, <=1.30.5; >=2.0.0, <=2.1.1;
• mongodb-php-driver; >=0, <=2.1.2;

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

Více informací:

• CVE-2025-12119 na cve.org, NVD
• CWE-825: Expired Pointer Dereference na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.