CVE-2026-118383
Pubblicato da MongoDB, 10 nov
CVSS 9 CRITICAL: a use-after-free in the replication component of MongoDB Server can occur when a newly elected replica set primary completes catch-up.
Vulnerabilità ed exploit
Datadog ha riprodotto su MongoDB Server 8.0.34 un crash dei membri dei replica set attivabile senza autenticazione. La caduta può interrompere la disponibilità del database.
Quando un membro viene eletto primary, recupera le operazioni perse prima di accettare nuove scritture. Due semplici ping, inviati senza login, preparano lo stato che porta al crash: attivare l’autenticazione non blocca queste richieste.
Il problema riguarda anche i membri dei replica set usati da shard e config server nei cluster sharded; le istanze standalone non sono coinvolte. MongoDB indica l’aggiornamento come rimedio, ma le informazioni disponibili non riportano i numeri delle release corrette. Fino alla patch, il confine pratico resta chi può raggiungere la rete del database.
2 fonti · 12 nov
Pubblicato da MongoDB, 10 nov
CVSS 9 CRITICAL: a use-after-free in the replication component of MongoDB Server can occur when a newly elected replica set primary completes catch-up.
The Hacker News
Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failover
MongoDB fixed CVE-2026-118383, which lets unauthenticated requests crash a lagging replica set member if it later becomes primary.
originaleDatadog Security Labs
CVE-2026-118383: Use-after-free vulnerability in MongoDB | Datadog Security Labs
We reproduced CVE-2026-118383, a critical use-after-free in MongoDB Server's primary catch-up process that unauthenticated clients can set up, and explain how to detect and remediate it.
originalePart of the PlainSec briefing for 2026-11-12
Every edition of this story: L’autenticazione non ferma il crash dei replica set MongoDB