CVE-2026-120820— MongoDB 因资源失控致拒绝服务漏洞
一分钟漏洞结论
影响对象
MongoDB MongoDB Server
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
MongoDB 服务器维护一个驻留内存的表，用于存储每个命名空间（namespace）中与加密字段相关的操作统计信息。对于请求中提供的任何命名空间，系统都会创建相应的条目，且既没有限制条目数量的机制，也无法删除那些从未对应真实集合的条目。拥有基础读取权限的用户若反复发送引用任意命名空间名称的普通读取命令，可能导致服务器进程持续占用越来越多的内存，并在受影响的代码路径上性能下降；这些内存只有在重启进程后才能被释放。
可能的 ATT&CK 技术 1 AI
T1499 · Endpoint Denial of Service
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-120820 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Uncontrolled Resource Consumption in MongoDB Server Per-Namespace Encrypted-Field Statistics Table Leads to Denial of Service
来源: CVE Program / CVE List V5
Vulnerability Description
MongoDB Server maintains an in-memory table of per-namespace statistics for operations that carry encrypted-field information. Entries are created for any namespace supplied in a request, with no limit on the number of entries and no way to remove entries that never corresponded to a real collection. A user with basic read privileges who repeatedly issues ordinary read commands referencing arbitrary namespace names may cause the server process to retain steadily increasing amounts of memory and to slow down on the affected code path; the memory is reclaimed only by restarting the process.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
不加限制或调节的资源分配
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| MongoDB | MongoDB Server | 9.0.0 ~ 9.0.7 | - |
|
二、漏洞 CVE-2026-120820 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-120820 的情报信息
请登录查看更多情报信息。
CVE-2026-120820 其他参考 (1)
同批安全公告 · MongoDB · 2026-11-10 · 共 26 条
| CVE-2026-118383 | 9.0 CRITICAL | MongoDB 副本集主节点追赶未认证释放后使用漏洞 |
| CVE-2026-120824 | 8.8 HIGH | MongoDB 服务器时间序列桶验证认证后释放后使用漏洞 |
| CVE-2026-120815 | 8.4 HIGH | MongoDB 本地异常授权绕过漏洞 |
| CVE-2026-120828 | 7.5 HIGH | 分布式存储因远未来读等待导致内存耗尽 |
| CVE-2026-120804 | 7.5 HIGH | Windows Kerberos 认证凭证句柄保留漏洞 |
| CVE-2026-120808 | 7.4 HIGH | macOS TLS 客户端 IPv6 证书验证绕过漏洞 |
| CVE-2026-120814 | 7.2 HIGH | MultiUpdateCoordinator 状态重放导致持久化集群管理员漏洞 |
| CVE-2026-120803 | 7.1 HIGH | MongoDB SBE 窗口累加器释放后使用漏洞 |
| CVE-2026-120818 | 7.1 HIGH | MongoDB 聚合 JavaScript 支持 UAF 导致信息泄露 |
| CVE-2026-120809 | 6.8 MEDIUM | 时序块解包堆释放后读取漏洞 |
| CVE-2026-120822 | 6.7 MEDIUM | MongoDB Server 复制管理命令越权数据访问漏洞 |
| CVE-2026-120807 | 6.6 MEDIUM | X.509 集群成员守卫认证失败提权漏洞 |
| CVE-2026-120821 | 6.5 MEDIUM | MongoDB Server 认证后聚合子管道释放后使用漏洞 |
| CVE-2026-120817 | 6.5 MEDIUM | MongoDB Server 认证后竞态条件漏洞 |
| CVE-2026-120826 | 6.5 MEDIUM | MongoDB 分片视图授权不当致跨库未授权访问 |
| CVE-2026-120810 | 6.5 MEDIUM | MongoDB Server 聚合框架内部表达式导致拒绝服务漏洞 |
| CVE-2026-120825 | 6.5 MEDIUM | MongoDB 聚合视图验证未授权访问漏洞 |
| CVE-2026-120812 | 6.5 MEDIUM | 时序查询向量化无界递归致服务器崩溃漏洞 |
| CVE-2026-120813 | 5.9 MEDIUM | 客户端加密字段因重复密钥明文存储漏洞 |
| CVE-2026-120811 | 5.9 MEDIUM | MongoDB 计划缓存释放后使用致信息泄露及拒绝服务 |
显示前 20 条，共 26 条。 查看全部 → →