CVE-2026-119179 Desincronización del pool de conexiones en el driver de MongoDB para Node.js
Una falla en la capa de gestión de conexiones del driver de MongoDB para Node.js puede dejar una conexión de red del pool disponible para reutilización mientras aún hay datos de una operación anterior pendientes. En aplicaciones que habilitan el timeout de operación del lado del cliente, un tercero no autenticado que pueda enviar solicitudes comunes puede provocar que las respuestas de la base de datos se emparejen con solicitudes incorrectas, lo que puede derivar en divulgación de registros de otros usuarios…
CVSS 3.1
- CVSS 4.08.3 · alta
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 23
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
MongoDB Node.js Driver
desde 6.11.0 hasta antes de 6.22.0desde 7.0.0 hasta antes de 7.8.0
Qué hacer
- Verificá si usás Node.js Driver y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.0 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadBaja
- DisponibilidadBaja
CVSS 4.0 · 8.3 ALTA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
A flaw in the connection management layer of the MongoDB Node.js driver can leave a pooled network connection in the pool for reuse while data from an earlier operation is still outstanding on it. In applications that enable an optional client-side operation timeout, an unauthenticated party that can send ordinary requests to the application may cause database replies to be paired with the wrong requests. This may result in unintended disclosure of other users' records, incorrect operation results being returned, and failures of legitimate requests.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.