CVE-2025-14847
Campi di lunghezza non corrispondenti negli header di protocollo compressi con Zlib potrebbero consentire la lettura di memoria heap non inizializzata da parte di un client non autenticato. Questo problema interessa tutte le versioni MongoDB Server v7.0 precedenti alla 7.0.28, le versioni MongoDB Server v8.0 precedenti alla 8.0.17, le versioni MongoDB Server v8.2 precedenti alla 8.2.3, le versioni MongoDB Server v6.0 precedenti alla 6.0.27, le versioni MongoDB Server v5.0 precedenti alla 5.0.32, le versioni MongoDB Server v4.4 precedenti alla 4.4.30, le versioni MongoDB Server v4.2 maggiori o uguali alla 4.2.0, le versioni MongoDB Server v4.0 maggiori o uguali alla 4.0.0 e le versioni MongoDB Server v3.6 maggiori o uguali alla 3.6.0.
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 29 dic 2025
- Le agenzie federali statunitensi devono correggerla entro il 19 gen 2026 (direttiva BOD 22-01)
- Primo attacco osservato 9 giorni dopo la divulgazione
- Confermata dai sensori, non solo da segnalazioni
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Fonte: CISA KEV · 23 set 2026 22 set 2026 14 giu 2026 9 apr 2026 11 mar 2026 20 gen 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| mongodb | mongodb | < 4.4.30 |
Articoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.