Le pilote MongoDB Node.js peut réutiliser une connexion du pool alors qu’une réponse à l’opération précédente est encore attendue, si l’application utilise l’option expérimentale `timeoutMS`. Un attaquant capable d’envoyer des requêtes ordinaires à l’application peut alors provoquer des réponses mal associées, avec risque de divulgation de données, de résultats incorrects et d’échecs de requêtes.
Source : NVD — CVE-2026-119179
Analyse technique
Le défaut concerne la gestion des connexions après expiration d’une opération. Les versions touchées et le correctif précis n’ont pas été établis à partir des sources consultées.
Impact, versions et correctif
Action recommandée
Vérifier l’usage de `timeoutMS` dans le pilote MongoDB Node.js et appliquer la version corrigée publiée par MongoDB.
Sources
Priorisation DFS : P3 · 1 source(s).