CVE-2026-8201: Use-After-Free in MongoDB Server 8.3.2
Plattform
mongodb
Komponente
mongodb
Behoben in
8.3.2
CVE-2026-8201 is a medium-severity vulnerability in MongoDB Server's Field-Level Encryption (FLE) query analysis component. This vulnerability is a use-after-free condition, which can be triggered by controlling the structure of a client's FLE-related query. This can potentially lead to arbitrary code execution. Affected versions include MongoDB Server’s mongocryptd component v7.0 prior to 7.0.34, v8.0 prior to 8.0.23, v8.2 prior to 8.2.9, and v8.3 prior to 8.3.2. A fix is available in version 8.3.2.
Auswirkungen und Angriffsszenarien
An attacker exploiting CVE-2026-8201 could potentially achieve arbitrary code execution by crafting a malicious Field-Level Encryption (FLE)-related query. The use-after-free condition arises in the query analysis component of mongocryptd, allowing an attacker to manipulate memory and potentially hijack the execution flow. Successful exploitation could lead to the attacker gaining control of the MongoDB server, reading sensitive data, or modifying database contents. The vulnerability requires control over the structure of a client's query, which may be easier to achieve in certain application architectures.
Ausnutzungskontext
CVE-2026-8201 was published on 2026-05-13. Its CVSS score is 6.4 (MEDIUM). No public Proof-of-Concept (POC) exploits have been publicly disclosed as of this writing. The EPSS score is pending evaluation. Monitor security advisories from MongoDB and CISA for updates on exploitation activity and potential mitigation strategies.
Bedrohungsanalyse
Exploit-Status
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Hoch — erfordert eine Race-Condition, Nicht-Standard-Konfiguration oder spezifische Umstände.
- Privileges Required
- Niedrig — jedes gültige Benutzerkonto ist ausreichend.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
- Confidentiality
- Niedrig — partieller oder indirekter Zugriff auf einige Daten.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Hoch — vollständiger Absturz oder Ressourcenerschöpfung. Totaler Denial of Service.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Veröffentlicht
Mitigation und Workarounds
The primary mitigation for CVE-2026-8201 is to upgrade MongoDB Server to version 8.3.2 or later. As a temporary workaround, carefully review and validate all client-side queries that utilize Field-Level Encryption. Implement strict input validation on all FLE-related queries to prevent the injection of malicious code. Consider using a Web Application Firewall (WAF) to filter or block queries that are likely to trigger the vulnerability. After upgrading, confirm the fix by attempting to reproduce the vulnerability with a known exploit vector and verifying that it fails.
So behebenwird übersetzt…
Actualice su instancia de MongoDB Server a la versión 7.0.34, 8.0.23, 8.2.9 o 8.3.2 o superior para mitigar esta vulnerabilidad de uso después de liberar. Asegúrese de revisar las notas de la versión para cualquier cambio de compatibilidad antes de actualizar. La actualización corrige el problema en el componente mongocryptd.
Häufig gestellte Fragen
What is CVE-2026-8201?
It's a medium-severity use-after-free vulnerability in MongoDB's Field-Level Encryption (FLE) query analysis component.
Am I affected?
If you're running MongoDB Server versions 7.0.0–8.3.2 and using Field-Level Encryption, you are potentially affected.
How do I fix it?
Upgrade to MongoDB Server version 8.3.2 or later. Validate client-side queries as a temporary measure.
Is it being exploited?
No public exploits are currently known, but the vulnerability's potential impact warrants immediate attention.
Where can I learn more?
Refer to the MongoDB security advisory and the NVD entry for CVE-2026-8201 for detailed information.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Jetzt testen — kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...