Veille sécuritéBackend & données
P4Faible
MongoDB a publié le 10 novembre 2026 un avis sur un contrôle d’autorisation insuffisant lors d’écritures internes de métadonnées Queryable Encryption. Un utilisateur authentifié autorisé à insérer dans une collection peut, sous certaines conditions, rediriger ces écritures vers les métadonnées d’une autre collection chiffrée de la même base.
MongoDB
IdentifiantCVE-2026-120805
GravitéFaible
Exploitationnon connue / non déterminée
Correctif9.0.7, 8.3.16, 8.0.37, 7.0.48
Source : NVD — CVE-2026-120805
Analyse technique
L’autorisation vérifie la collection ciblée par l’utilisateur, mais les écritures internes ultérieures utilisent des paramètres contrôlés par le client.
Impact, versions et correctif
Événement datéAvis éditeur et entrée NVD datés du 10 novembre 2026.
ImpactÉcriture non autorisée dans les métadonnées d’une autre collection chiffrée, pouvant corrompre l’état des index et des opérations de compactage.
Versions affectéesMongoDB Server : versions antérieures à 9.0.7, 8.3.16, 8.0.37 et 7.0.48 dans les branches concernées
Version corrigée9.0.7, 8.3.16, 8.0.37, 7.0.48
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-11-10
Action recommandée
Mettre à niveau vers une version corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).