Veille sécuritéBackend & données
P3Élevée
MongoDB a publié le 10 novembre 2026 un avis décrivant un use-after-free dans l’accumulateur de fenêtre `$locf` du moteur SBE. Un utilisateur authentifié disposant de droits readWrite peut provoquer une lecture hors limites sur le tas ou un arrêt du serveur au moyen d’un pipeline d’agrégation spécialement construit.
MongoDB
IdentifiantCVE-2026-120803
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif9.0.7, 8.3.16
Source : NVD — CVE-2026-120803
Analyse technique
Le pointeur conservé par l’accumulateur peut désigner une mémoire libérée, ensuite déréférencée lors de la sérialisation.
Impact, versions et correctif
Événement datéAvis éditeur et correctif datés du 10 novembre 2026; l’entrée NVD fournie indique également une publication le 10 novembre.
ImpactLecture potentielle de données mémoire adjacentes et déni de service.
Versions affectéesMongoDB Server 9.0 avant 9.0.7 et 8.3 avant 8.3.16
Version corrigée9.0.7, 8.3.16
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-10
Action recommandée
Mettre à niveau MongoDB Server vers une version corrigée, notamment 9.0.7 ou 8.3.16 selon la branche.
Sources
Priorisation DFS : P3 · 1 source(s).