CVE-2026-8202 是 MongoDB Server 中的一个拒绝服务（DoS）漏洞。攻击者可以通过精心构造的聚合操作，例如使用密集填充的字符掩码和大型输入字符串来利用 $trim、 $ltrim 和 $rtrim 聚合操作，导致服务器 CPU 利用率达到 100%，持续一段时间。此漏洞影响 MongoDB Server v7.0 之前的 7.0.34、v8.0 之前的 8.0.23、v8.2 之前的 8.2.9 和 v8.3 之前的 8.3.2 版本。已发布修复版本 8.3.2。
影响与攻击场景
攻击者可以利用此漏洞发起拒绝服务攻击，导致 MongoDB Server 无法响应合法请求。攻击者需要具有聚合权限，但不需要特权。攻击场景包括：恶意用户构造包含大量字符掩码的聚合管道，并使用 $trim 等操作进行处理，从而导致服务器 CPU 资源耗尽。这可能导致数据库服务中断，影响依赖 MongoDB 的应用程序的可用性。由于攻击者只需要聚合权限，因此潜在的攻击面相对较广，可能导致较大的影响范围。如果攻击者能够持续发起此类攻击，可能会导致数据不可用，并影响业务运营。
利用背景
CVE-2026-8202 于 2026 年 5 月 13 日发布。目前，该漏洞的严重程度评定为中等 (CVSS 4.3)。公开可用的利用代码尚未发现，但由于该漏洞的易利用性，存在被利用的风险。该漏洞尚未被列入 KEV 或 EPSS，因此风险概率评估为中等。建议尽快应用补丁或采取缓解措施。
威胁情报
漏洞利用状态
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 无 — 无完整性影响。
- Availability
- 低 — 部分或间歇性拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 发布日期
缓解措施和替代方案
缓解 CVE-2026-8202 的主要方法是升级到 MongoDB Server 8.3.2 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制用户对聚合操作的访问权限，特别是那些具有聚合权限的用户。监控 MongoDB Server 的 CPU 使用率，并设置警报以检测异常情况。如果检测到 CPU 使用率异常升高，可以考虑临时禁用聚合操作，或限制聚合管道的复杂性。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并阻止包含恶意聚合管道的请求到达 MongoDB Server。升级后，请确认 CPU 使用率恢复正常，并验证聚合操作的功能是否正常。
修复方法翻译中…
Actualice su instancia de MongoDB Server a la versión 7.0.34, 8.0.23, 8.2.9 o 8.3.2 o superior para mitigar la vulnerabilidad. Esta actualización aborda el problema de agotamiento de la CPU al aplicar las operaciones de recorte en agregaciones con máscaras de caracteres densamente pobladas.
常见问题
什么是 CVE-2026-8202?
CVE-2026-8202 是 MongoDB Server 7.0.0–8.3.2 中的一个拒绝服务漏洞，攻击者可利用聚合操作耗尽 CPU 资源。
我是否受到影响?
如果您的 MongoDB Server 版本在 7.0.0–8.3.2 之间，则可能受到影响。请立即检查您的版本并升级。
如何修复?
升级到 MongoDB Server 8.3.2 或更高版本。如果无法升级，请限制聚合权限并监控 CPU 使用率。
此漏洞是否正在被利用?
目前尚未发现公开利用代码，但存在被利用的风险。
在哪里可以了解更多信息?
请参考 MongoDB 安全公告和 NVD 数据库获取更多信息：https://www.mongodb.com/docs/security/advisory/security-advisories/
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...