CVE-2026-8336 是 MongoDB Server 中的一个拒绝服务（DoS）漏洞。攻击者可以通过调用未公开的 $_internalJsEmit 函数或以特定方式使用 mapreduce 命令的 map 函数，然后以特定方式使用服务器端的 JavaScript 引擎（通过 $where、 $function、mapreduce reduce 阶段等），导致 mongod 进程崩溃。此漏洞影响 MongoDB Server v7.0 之前的 7.0.34、v8.0 之前的 8.0.23、v8.2 之前的 8.2.9 和 v8.3 之前的 8.3.2 版本。已发布修复版本 8.3.2。
影响与攻击场景
攻击者可以利用此漏洞发起拒绝服务攻击，导致 MongoDB Server 进程崩溃，从而导致数据库服务中断。攻击者需要具有认证权限，但不需要特权。攻击场景包括：恶意用户构造包含恶意 JavaScript 代码的 mapreduce 命令，或通过 $where、 $function 等操作执行恶意 JavaScript 代码，从而导致 mongod 进程崩溃。由于攻击者需要认证权限，因此攻击面相对较窄，但一旦成功，可能导致严重的后果，包括数据丢失和业务中断。如果攻击者能够持续发起此类攻击，可能会导致数据库服务不可用，并影响业务运营。
利用背景
CVE-2026-8336 于 2026 年 5 月 13 日发布。目前，该漏洞的严重程度评定为高 (CVSS 7.5)。公开可用的利用代码尚未发现，但由于该漏洞的潜在影响，存在被利用的风险。该漏洞尚未被列入 KEV 或 EPSS，因此风险概率评估为中等。建议尽快应用补丁或采取缓解措施。
威胁情报
漏洞利用状态
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 高 — 需要竞态条件、非默认配置或特定情况。难以可靠利用。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 发布日期
缓解措施和替代方案
缓解 CVE-2026-8336 的主要方法是升级到 MongoDB Server 8.3.2 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制用户对 $where、 $function 和 mapreduce 命令的访问权限。监控 MongoDB Server 的进程状态，并设置警报以检测异常情况。如果检测到 mongod 进程频繁崩溃，可以考虑临时禁用这些功能，或限制 JavaScript 代码的复杂性。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并阻止包含恶意 JavaScript 代码的请求到达 MongoDB Server。升级后，请确认 mongod 进程稳定运行，并验证相关功能是否正常。
修复方法翻译中…
Actualice su instancia de MongoDB Server a la versión 7.0.34, 8.0.23, 8.2.9 o 8.3.2 o superior para mitigar la vulnerabilidad de denegación de servicio. La actualización corrige un error de uso después de liberar que puede ser explotado por usuarios autenticados para causar un fallo en el servidor. Consulte la documentación oficial de MongoDB para obtener instrucciones detalladas sobre cómo actualizar.
常见问题
什么是 CVE-2026-8336?
CVE-2026-8336 是 MongoDB Server 7.0.0–8.3.2 中的一个拒绝服务漏洞，攻击者可利用JavaScript引擎导致mongod崩溃。
我是否受到影响?
如果您的 MongoDB Server 版本在 7.0.0–8.3.2 之间，则可能受到影响。请立即检查您的版本并升级。
如何修复?
升级到 MongoDB Server 8.3.2 或更高版本。如果无法升级，请限制 JavaScript 权限并监控进程状态。
此漏洞是否正在被利用?
目前尚未发现公开利用代码，但存在被利用的风险。
在哪里可以了解更多信息?
请参考 MongoDB 安全公告和 NVD 数据库获取更多信息：https://www.mongodb.com/docs/security/advisory/security-advisories/
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...