VULNERABILIDADDetectada 03 NOV · 18:06

CVE-2026-120684 Exposición de información en GridFS del driver C de MongoDB por memoria no inicializada

Una falla de inicialización de memoria en el manejo heredado de archivos GridFS del driver C de MongoDB puede hacer que memoria no inicializada del proceso se trate como contenido válido de archivo y se almacene en el servidor. Un usuario de base de datos con acceso de escritura ordinario a un área de almacenamiento compartida puede lograr que una aplicación luego agregue datos a ese archivo y escriba esa memoria en registros que el mismo usuario puede leer, lo que puede divulgar información sensible del proceso…

6.5MEDIA

CVSS 3.1

CVSS 4.06.0 · media
Probabilidad de explotación · EPSS del 09/110,3 % · percentil 25
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

MongoDB C Driver
desde 1.25.0 hasta 1.30.14desde 2.0.0 hasta 2.5.7

Qué hacer

Verificá si usás C Driver y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

CVSS 4.0 · 6.0 MEDIA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataquePresentes
Privilegios requeridosBajos
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

A memory-initialization flaw in the legacy GridFS file handling of the MongoDB C Driver can cause uninitialized process memory to be treated as valid file content and stored on the server. A database user holding ordinary write access to a shared storage area can arrange conditions under which an application later appends to such a file and writes that memory into records the same user is permitted to read, which may result in unintended disclosure of sensitive information from the application's process, including credentials.

Referencias (1)

jira.mongodb.org/browse/CDRIVER-6508

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.