MongoDB hat im Juli 2026 insgesamt 27 Sicherheitslücken behoben. Betroffen sind die Versionen MongoDB Server 7.0 vor Version 7.0.39, 8.0 vor 8.0.28, 8.2 vor 8.2.12 sowie 8.3 vor 8.3.7. Darüber hinaus ist auch MongoDB Compass in Versionen vor 1.49.7 betroffen. Die Schwachstellen können unter anderem zu Denial-of-Service-Szenarien, Abstürzen der Datenbank oder einer Umgehung bestehender Zugriffsbeschränkungen führen.
Als kritisch wird die Schwachstelle CVE-2026-13072 eingestuft. Sie basiert auf einer Speicherkorruption im sogenannten Compute Mode, die durch eine unzureichende Validierung extern bereitgestellter BSON-Daten während der Verarbeitung von Aggregation-Pipelines ausgelöst werden kann. Für eine erfolgreiche Ausnutzung muss eine Standalone-Instanz von mongod mit aktiviertem Compute Mode betrieben werden. Da diese Funktion standardmäßig deaktiviert ist, sind nur entsprechend konfigurierte Systeme betroffen. Zudem muss ein Angreifer manipulierte BSON-Daten in eine Aggregation-Pipeline einschleusen können.
Mehrere weitere Schwachstellen wurden mit dem Schweregrad hoch bewertet. Unter anderem ermöglicht CVE-2026-13059 authentifizierten Benutzern mit geringen Berechtigungen die Umgehung der rollenbasierten Zugriffskontrolle. Aufgrund einer unzureichenden Validierung clientseitig übergebener Kommandoparameter können diese Nutzer unbefugt Lese- und Schreibzugriffe über die Befehle find, update, delete und aggregate durchführen.
Mit CVE-2026-13069 wurde zudem eine Denial-of-Service-Schwachstelle behoben, über die authentifizierte Benutzer den Ressourcenverbrauch einer MongoDB-Instanz erheblich steigern können. Hierzu wird der sogenannte Contention Factor innerhalb einer manipulierten find-Anfrage auf einen extrem hohen, nicht validierten Wert gesetzt. Der Server erzeugt daraufhin eine Vielzahl interner Datenstrukturen, wodurch CPU- und Speicherressourcen erschöpft werden können.
Empfehlung: Administratoren sollten betroffene MongoDB-Instanzen zeitnah auf eine der abgesicherten Versionen aktualisieren. Zusätzlich sollte der Zugriff auf die Datenbank durch die empfohlenen IP-Tables-Regeln auf den Application Server beschränkt werden.
