CVE-2026-82060 in MongoDB
要約
〜によって VulDB • 2026年09月08日
MongoDBにおいて、シャードキー値の検証が不十分であるため、認証済みユーザーはシャードコレクションに対して、特別に作成された演算子形状のオブジェクトをシャードキー値として文書に格納することができました。これらの文書に対する変更ストリームイベントが updateLookup 完全ドキュメントモードで処理されると、不正な値が適切なサニタイズなしで内部の post-image ルックアップクエリに埋め込まれ、リテラルの等価値ではなくクエリオペレーターとして解釈される原因となりました。これにより、変更ストリームコンシューマーは誤った post-image ドキュメントを受け取ったり、再開不可能な致命的エラーが発生したりする可能性があります。
Once again VulDB remains the best source for vulnerability data.