Summary
Vulnerability in mongodb (CVE-2026-11933). Successful exploitation can lead to full system takeover. Mitigation: upgrade to 4.4.31, 5.0.34, 6.0.29, 7.0.37, 8.0.26, 8.2.11, 8.3.4 or later.
Original description
The description as published by the source.
A use-after-free vulnerability exists in MongoDB Server's server-side JavaScript engine when converting BSON documents to JavaScript arrays. An authenticated user with read privileges who is able to run server-side JavaScript (for example, via $where or $function) can cause the server to access memory that has already been freed. This may result in disclosure of information from the mongod process memory or a denial of service through a server crash.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
MongoDB サーバーのサーバーサイド JavaScript エンジンには、BSON ドキュメントを JavaScript 配列に変換する際に、use-after-free の脆弱性が存在します。認証されたユーザーがこの脆弱性を利用すると、メモリが解放された後でもアクセスが可能になり、情報漏洩やサーバークラッシュによるサービス拒否が発生する可能性があります。
MongoDBサーバーのサーバーサイドJavaScriptエンジンでのuse-after-free脆弱性です。
BSONドキュメントをJavaScript配列に変換する際。
メモリを誤ってアクセスすることで情報漏洩やサービス拒否が可能になります。
MongoDBエンジンのアップデートを行い、この脆弱性が修正されたバージョンを使用します。
情報なし
サーバーのクラッシュログや異常なメモリアクセスの監視を行います。
Affected packages
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Ubuntu UBUNTU-CVE-2026-11933 mongodb
References
- advisory jira.mongodb.org
- web nvd.nist.gov
- web github.com