Certificats intermédiaires eMudhra récupérables dans le runtime Node.js livré avec mongosh

Veille sécuritéBackend & données

P3Élevée

Le magasin de certificats racines TLS du runtime Node.js inclus dans MongoDB Shell contient des certificats intermédiaires eMudhra récupérables. Le problème concerne mongosh avant 2.14.0 ; mettre à niveau mongosh, ou mettre à jour séparément le runtime Node.js utilisé si mongosh est installé via npm.

IdentifiantCVE-2026-115930

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctifmongosh 2.14.0 (bundlant Node.js 24.22.1 ou ultérieur)

Source : CVE-2026-115930 — NVD

Analyse technique

Le paquet mongosh embarque son propre runtime Node.js et son magasin de certificats TLS. Les installations via npm utilisent le runtime Node.js de l’hôte, qui doit être mis à jour séparément.

Impact, versions et correctif

Événement datéNouvelle fiche publiée le 2026-10-26, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité, et non une simple mise à jour administrative.

ImpactDes certificats intermédiaires présents dans le magasin du runtime peuvent être récupérés, ce qui affecte la confiance TLS.

Versions affectéesMongoDB Shell (mongosh) versions antérieures à 2.14.0

Version corrigéemongosh 2.14.0 (bundlant Node.js 24.22.1 ou ultérieur)

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

Publication2026-10-26T15:16:39.480Z

Mise à jour2026-10-26T16:54:08.707Z

Détection / vérification

Vérifier si mongosh est installé et sa version; pour une installation npm, vérifier aussi la version du runtime Node.js de l’hôte.

Action recommandée

Mettre mongosh à niveau vers la version 2.14.0 ou ultérieure. Pour une installation npm, mettre à jour le runtime Node.js installé sur l’hôte séparément.

Sources

CVE-2026-115930 — NVD

Priorisation DFS : P3 · 1 source(s).