https://alertas.dupin.com.ar/fabricante/mongodb/Alertas de vulnerabilidades de MongoDB.esTue, 03 Nov 2026 21:06:46 +000010https://alertas.dupin.com.ar/cve/CVE-2026-120673/tg:63038Tue, 03 Nov 2026 21:06:46 +0000VulnerabilidadUn componente del driver Rust de MongoDB que registra datos de trazabilidad puede capturar el contenido de comandos antes de aplicar el cifrado automático de campos del lado del cliente. En implementaciones con la capacidad de trazabilidad habilitada junto con el cifrado automático en uso, quien tenga acceso de lectura a los datos de traza exportados puede obtener valores de campos que la aplicación designó para cifrado, sin acceso a las claves. Esto puede provocar la divulgación no intencional de datos.https://alertas.dupin.com.ar/cve/CVE-2026-120678/tg:63035Tue, 03 Nov 2026 21:06:41 +0000VulnerabilidadUna falla de gestión de memoria en el manejo de respuestas comprimidas del driver C de MongoDB puede hacer que la biblioteca cliente retenga memoria que nunca se libera. Una parte no autenticada que controle el endpoint de base de datos al que se conecta la aplicación puede provocar un crecimiento de memoria repetido y sin límites en esa aplicación, lo que puede dejarla no disponible. No se requieren credenciales, configuración de seguridad de transporte ni interacción del usuario.https://alertas.dupin.com.ar/cve/CVE-2026-120684/tg:63034Tue, 03 Nov 2026 21:06:40 +0000VulnerabilidadUna falla de inicialización de memoria en el manejo heredado de archivos GridFS del driver C de MongoDB puede hacer que memoria no inicializada del proceso se trate como contenido válido de archivo y se almacene en el servidor. Un usuario de base de datos con acceso de escritura ordinario a un área de almacenamiento compartida puede lograr que una aplicación luego agregue datos a ese archivo y escriba esa memoria en registros que el mismo usuario puede leer, lo que puede divulgar información sensible del proceso…https://alertas.dupin.com.ar/cve/CVE-2026-120956/tg:63033Tue, 03 Nov 2026 21:06:39 +0000VulnerabilidadEl driver C de MongoDB no valida el tipo ni el formato del campo de espacio de nombres devuelto por el servidor en una respuesta de consulta. Un endpoint de MongoDB al que se conecta la aplicación, sin necesidad de credenciales, puede devolver un valor malformado en ese campo, lo que provoca la terminación del proceso cliente y puede hacer que el driver lea memoria fuera de un búfer asignado y envíe una pequeña cantidad de memoria heap no inicializada de la aplicación de vuelta al endpoint en un comando…https://alertas.dupin.com.ar/cve/CVE-2026-120955/tg:63031Tue, 03 Nov 2026 21:06:35 +0000VulnerabilidadLa API de descarga de archivos GridFS del driver C de MongoDB no verifica el resultado de una operación interna bajo ciertas condiciones de error durante la recuperación de archivos. Esto puede provocar la terminación del proceso cuando continúan las operaciones de stream. Un usuario que pueda influir en los parámetros de descarga puede desencadenar esta condición, lo que puede causar indisponibilidad del servicio para las aplicaciones que usan la API afectada.https://alertas.dupin.com.ar/cve/CVE-2026-120954/tg:63029Tue, 03 Nov 2026 21:06:33 +0000VulnerabilidadUna debilidad en el manejo de un tipo de datos vectoriales binarios especializados de la biblioteca BSON permite un desbordamiento aritmético al calcular la cantidad de elementos descritos por un valor de gran tamaño proporcionado por el atacante. En compilaciones de 32 bits, una aplicación que analiza datos BSON no confiables puede procesar solo una fracción de los elementos suministrados mientras la operación informa éxito, produciendo resultados que no coinciden con los accesores orientados a bytes ni con…https://alertas.dupin.com.ar/cve/CVE-2026-120953/tg:63028Tue, 03 Nov 2026 21:06:32 +0000VulnerabilidadUna debilidad de redirección de URI en el componente de autenticación del driver JDBC de Atlas SQL permite que, durante un flujo de inicio de sesión interactivo, el driver acepte direcciones de endpoint suministradas por el endpoint remoto sin validar su esquema y las pase al manejador de protocolo predeterminado local. Una parte remota no autenticada que controle el endpoint al que el usuario elige conectarse puede hacer que se abra en su sistema una dirección de su elección; se requiere interacción del usuario.https://alertas.dupin.com.ar/cve/CVE-2026-119179/tg:62968Tue, 03 Nov 2026 15:15:14 +0000VulnerabilidadUna falla en la capa de gestión de conexiones del driver de MongoDB para Node.js puede dejar una conexión de red del pool disponible para reutilización mientras aún hay datos de una operación anterior pendientes. En aplicaciones que habilitan el timeout de operación del lado del cliente, un tercero no autenticado que pueda enviar solicitudes comunes puede provocar que las respuestas de la base de datos se emparejen con solicitudes incorrectas, lo que puede derivar en divulgación de registros de otros usuarios…https://alertas.dupin.com.ar/cve/CVE-2026-118581/tg:61825Wed, 28 Oct 2026 17:58:57 +0000VulnerabilidadUn componente de codificación BSON del driver Java de MongoDB no verifica que la longitud declarada de un documento crudo externo coincida con el rango de bytes recibido antes de copiarlo en un comando saliente. Una aplicación que incluya bytes crudos no confiables en un comando puede emitir un mensaje estructuralmente inconsistente y hacer que la base de datos interprete contenido del atacante como campos adicionales, alterando los datos leídos o escritos con las credenciales de la aplicación.