Comparaison incomplète des certificats TLS dans le cache de connexions

Veille sécuritéBackend & données

P3Élevée

Le pilote MongoDB C# compare les certificats TLS clients à partir de l’émetteur et du numéro de série seulement lors du partage de connexions en cache. Dans une application construisant des clients à partir de certificats fournis par différents utilisateurs, cela peut conduire au partage d’une connexion authentifiée sous l’identité d’un autre utilisateur; mettre à jour le pilote.

IdentifiantCVE-2026-114649

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.13.0

Source : NVD — CVE-2026-114649

Analyse technique

Scénario dépendant d’une application qui accepte des certificats utilisateurs et partage les connexions correspondantes via le cache de cluster.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-22 à 19:17:38.703 UTC, soit 21:17:38.703 +02:00, dans la période demandée; la mise à jour ultérieure du 2026-10-23 est hors période.

ImpactOpérations de base effectuées sous une identité TLS différente, avec risque pour la confidentialité et l’intégrité des données accessibles à cette identité.

Version corrigée3.13.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

Publication2026-10-22T21:17:38.703+02:00

Action recommandée

Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; examiner les applications qui créent des clients depuis des certificats contrôlés par des utilisateurs.

Sources

NVD — CVE-2026-114649

Priorisation DFS : P3 · 1 source(s).