CVE-2026-119675 in Database Tools
Zusammenfassung
von VulDB • 03.11.2026
MongoDB Database Tools mongorestore verarbeitet das Präfix „system.buckets.“ bei der Validierung von Sammlungs- (Collection-) Namen in einem nicht vertrauenswürdigen Dump inkonsistent. Ein speziell konstruierter Sammlungsname kann die Schutzmechanismen für spezielle Sammlungen und Namespace-Filter von Operatoren umgehen, wodurch während einer Wiederherstellung ein unbefugter, vom Benutzer gewählter Datenbank-Account erstellt wird, einschließlich eines Accounts mit der Root-Rolle. Die Ausnutzung erfordert einen Operator, der nicht autorisierte, benutzerkontrollierte Daten unter Verwendung von Anmeldeinformationen mit ausreichenden Benutzerverwaltungsrechten auf dem Ziel-Deployment wiederherstellt. Das ausschließliche Ausschließen des admin-Namespace verhindert dieses Verhalten allein nicht. Diese Problematik betrifft MongoDB Database Tools in den Versionen 100.4.0 bis vor 100.20.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.