CVE-2026-118383
Pubblicato da MongoDB, 10 nov
CVSS 9 CRITICAL: a use-after-free in the replication component of MongoDB Server can occur when a newly elected replica set primary completes catch-up.
Vulnerabilità · 21 ore fa
Datadog ha riprodotto su MongoDB Server 8.0.34 un crash dei membri dei replica set attivabile senza autenticazione. La caduta può interrompere la disponibilità del database.
Quando un membro viene eletto primary, recupera le operazioni perse prima di accettare nuove scritture. Due semplici ping, inviati senza login, preparano lo stato che porta al crash: attivare l’autenticazione non blocca queste richieste.
Il problema riguarda anche i membri dei replica set usati da shard e config server nei cluster sharded; le istanze standalone non sono coinvolte. MongoDB indica l’aggiornamento come rimedio, ma le informazioni disponibili non riportano i numeri delle release corrette. Fino alla patch, il confine pratico resta chi può raggiungere la rete del database.
Pubblicato da MongoDB, 10 nov
CVSS 9 CRITICAL: a use-after-free in the replication component of MongoDB Server can occur when a newly elected replica set primary completes catch-up.
2 fonti che coprono questa storia
Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failover
MongoDB fixed CVE-2026-118383, which lets unauthenticated requests crash a lagging replica set member if it later becomes primary.
CVE-2026-118383: Use-after-free vulnerability in MongoDB | Datadog Security Labs
We reproduced CVE-2026-118383, a critical use-after-free in MongoDB Server's primary catch-up process that unauthenticated clients can set up, and explain how to detect and remediate it.
Part of the PlainSec briefing for 2026-11-12