Veille sécuritéBackend & données
P3Élevée
MongoDB a publié le 10 novembre 2026 un avis concernant la suppression incomplète de références d’autorisations lorsqu’un rôle est supprimé. Si un rôle du même nom est ensuite recréé avec d’autres privilèges, des utilisateurs précédemment associés peuvent hériter de ces nouveaux privilèges sans attribution explicite.
MongoDB
IdentifiantCVE-2026-120806
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.0.7, 8.3.16, 8.0.37, 7.0.48
Source : NVD — CVE-2026-120806
Analyse technique
La suppression du rôle ne nettoie pas certaines références présentes dans les documents des utilisateurs et des rôles; l’exploitation nécessite des privilèges d’administration de base de données.
Impact, versions et correctif
Événement datéAvis éditeur et entrée NVD datés du 10 novembre 2026.
ImpactAttribution implicite de privilèges pouvant permettre une élévation de privilèges.
Versions affectéesMongoDB Server : versions antérieures à 9.0.7, 8.3.16, 8.0.37 et 7.0.48 dans les branches concernées
Version corrigée9.0.7, 8.3.16, 8.0.37, 7.0.48
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7
Publication2026-11-10
Action recommandée
Mettre à niveau vers une version corrigée et vérifier les associations de rôles après suppression puis recréation de rôles.
Sources
Priorisation DFS : P3 · 1 source(s).