Veille sécuritéBackend & données
P3Élevée
Dans l’intégration Laravel MongoDB, la construction d’une requête de relation peut mal traiter les identifiants sous forme de chaînes numériques lors d’une vérification d’absence de relation. Une application qui s’appuie sur cette vérification pour contrôler l’accès aux documents peut alors exposer ou permettre de modifier des documents qui devraient être refusés.
MongoDB
IdentifiantCVE-2026-118510
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.12.0
Source : NVD — CVE-2026-118510
Analyse technique
Le défaut concerne la compilation des requêtes relationnelles `whereDoesntHave` lorsque des identifiants numériques sont représentés comme des chaînes.
Impact, versions et correctif
Événement datéL’avis officiel MongoDB indique une publication le 28 octobre 2026 ; la fiche NVD candidate a été publiée durant la même période.
ImpactSelon l’usage de la vérification de relation dans l’application, des documents peuvent être servis, modifiés ou supprimés malgré le contrôle prévu.
Versions affectéesLaravel MongoDB : versions antérieures à 5.12.0
Version corrigée5.12.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.7
Publication2026-10-28
Action recommandée
Mettre à jour Laravel MongoDB vers la version 5.12.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).