Veille sécuritéBackend & données
P4Moyenne
mongorestore traite de manière incohérente le préfixe system.buckets. lors de la validation des noms de collections d’un dump non fiable. Un nom spécialement construit peut contourner des protections de collections et des filtres d’espace de noms, et faire créer un compte de base de données choisi par l’auteur du dump, y compris un compte doté du rôle root.
MongoDB
IdentifiantCVE-2026-119675
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif100.20.1
Source : NVD — CVE-2026-119675
Analyse technique
L’exploitation nécessite qu’un opérateur restaure des données contrôlées par un tiers avec des identifiants disposant de privilèges suffisants de gestion des utilisateurs sur le déploiement cible.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-03; l’entrée fournie indique aussi une mise à jour ce jour-là, sans détail permettant d’isoler un changement distinct.
ImpactCréation non autorisée d’un compte de base de données, potentiellement doté du rôle root.
Versions affectéesMongoDB Database Tools 100.4.0 à toute version antérieure à 100.20.1.
Version corrigée100.20.1
ContournementNe pas restaurer de dumps non fiables; exclure uniquement l’espace de noms admin ne suffit pas à empêcher le scénario décrit.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.2
Publication2026-11-03T17:18:07.123Z
Mise à jour2026-11-03T20:00:56.300Z
Action recommandée
Mettre à jour MongoDB Database Tools vers une version corrigée et ne restaurer que des dumps fiables.
Sources
Priorisation DFS : P4 · 1 source(s).