🛡 xj1.fr/cve
FICHE CVE

CVE-2026-2303

Publiée le 2026-02-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le pilote MongoDB Go avec l'authentification GSSAPI (Kerberos) sur Linux ou macOS sont concernées. Un attaquant distant disposant d'identifiants de bas niveau peut provoquer la fuite d'informations sensibles depuis la mémoire de l'application en déclenchant une lecture hors limites. Cela nécessite que l'attaquant possède un compte valide et qu'un utilisateur interagisse avec la requête malveillante.

CVSS 4.06.9 MOYENNE
Type de faiblesse
CWE-183
Publiée2026-02-10
Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaqueAucun
Privilèges requisFaibles
Interaction utilisateurPassive
Confidentialité (système vulnérable)Aucune
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Aucune
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

The mongo-go-driver repository contains CGo bindings for GSSAPI (Kerberos) authentication on Linux and macOS. The C wrapper implementation contains a heap out-of-bounds read vulnerability due to incorrect assumptions about string termination in the GSSAPI standard. Since GSSAPI buffers are not guaranteed to be null-terminated or have extra padding, this results in reading one byte past the allocated heap buffer.