CVE-2026-118510

CVSS 8.8 HIGH RCE

Laravel MongoDB `whereDoesntHave` misses deny records for numeric string IDs

Công bố: 2026-10-28
Cập nhật: 2026-10-28
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

A type-handling flaw in the relationship query building of this MongoDB integration library can cause a check for the absence of a related record to be compiled with an identifier of the wrong data type. In an application that relies on such a check to decide which documents a request may see or act on, a user with basic privileges may be served, may change, or may remove documents that the check was intended to withhold. The failure is silent and produces no error.

Điểm và phân loại

CVSS: 8.8 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-843

Vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

MongoDB Laravel MongoDB

Vì sao được giữ

CVSS 8.8 >= 8.0

Loại tác động

RCE: CWE-843 + AV:N/I:H

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: mongodb