CVE-2026-96745 in PHP Driver
Zusammenfassung
von VulDB • 24.09.2026
Die Deserialisierung von nicht vertrauenswürdigen Daten im Befehlsüberwachungssupport des MongoDB PHP-Treibers kann dazu führen, dass Klassennamen, die im Dokumentinhalt eingebettet sind, berücksichtigt werden, wenn der Treiber Überwachungsereignisobjekte erstellt. Wenn eine Anwendung einen Abonnementempfänger für die Befehlsüberwachung registriert und nicht vertrauenswürdige Daten in einer Datenbankoperation verwendet, kann ein unbefugter Akteur, der diese Daten kontrolliert, dazu führen, dass eine Anwendungs-Klasse, die das persistierbare Interface des Treibers implementiert, instanziiert wird und ihre Deserialisierungsmethode mit den bereitgestellten Daten aufgerufen wird. Die daraus resultierende Auswirkung hängt von den in der Anwendung verfügbaren Klassen ab.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.