L’accélérateur binaire du pilote Python MongoDB peut lire au-delà d’un tampon lors du décodage de BSON malformé contenant un élément d’expression régulière tronqué sans octet NUL final. Un BSON fourni à l’API `decode` ou `decode_all` peut faire terminer le processus si l’extension C est chargée ; la source précise que le chemin normal du protocole de base de données n’est pas concerné.
Source : NVD — CVE-2026-106435
Analyse technique
Le scénario requiert qu’un acteur puisse fournir un BSON malformé aux API de décodage documentées et que l’extension binaire soit chargée. Aucune version corrigée n’est indiquée dans les données fournies.
Impact, versions et correctif
Action recommandée
Limiter l’accès aux API de décodage aux données BSON de confiance et consulter l’avis du fournisseur pour les versions corrigées.
Sources
Priorisation DFS : P4 · 1 source(s).