MongoDB 7.0.x < 7.0.35 / 8.0.x < 8.0.24 / 8.2.x < 8.2.10 / 8.3.x < 8.3.3 / 9.0.0-rc0 多個弱點

high Nessus Plugin ID 320791

語言:

概要

遠端主機缺少安全性更新。

說明

遠端主機上安裝的 MongoDB 版本為 7.0.35 之前的 7.0.x、8.0.24 之前的 8.0.x、8.2.10 之前的 8.2.x 或 8.3.3 之前的 8.3.x。因此，會受到多個弱點影響：

- 「可查詢加密（QE）」或「用戶端欄位層次加密（CSFLE）」的聚集階段的 $vectorSearch 查詢分析處理程序中的錯誤會導致階段篩選表示式內 $vectorSearch 加密欄位的文字值以純文字而非加密文字的形式傳送至伺服器。
(CVE-2026-9741)

- 新增 fromRouter：true 和 runtimeConstants.userRoles 可能會導致彙總損毀 mongodb 伺服器。
(CVE-2026-9747)

- 經過驗證的使用者可能會建立在查詢執行期間干擾內部中繼資料處理的文件，從而導致 MongoDB 伺服器當機或傳回不正確的結果。這源自於某些執行路徑中使用者控制的文件欄位和內部中繼資料之間的分離不足。
(CVE-2026-9750)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。