CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-20802 – Post-auth queries on compound index may crash mongod
https://notcve.org/view.php?id=CVE-2018-20802
A user authorized to perform database queries may trigger denial of service by issuing specially crafted queries with compound indexes affecting QueryPlanner. This issue affects MongoDB Server v3.6 versions prior to 3.6.9 and MongoDB Server v4.0 versions prior to 4.0.3. Un usuario autorizado que lleva a cabo consultas en la bases de datos puede desencadenar una denegación de servicio al emitir consultas especialmente diseñadas con índices compuestos afectando a QueryPlanner. Este problema afecta a: MongoDB Server de MongoDB Inc versiones v3.6 anteriores a 3.6.9, versiones v4.0 anteriores a 4.0.3 • https://jira.mongodb.org/browse/SERVER-36993 • CWE-394: Unexpected Status Code or Return Value •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-20804 – Invariant failure in applyOps
https://notcve.org/view.php?id=CVE-2018-20804
A user authorized to perform database queries may trigger denial of service by issuing specially crafted applyOps invocations. This issue affects MongoDB Server v4.0 versions prior to 4.0.10 and MongoDB Server v3.6 versions prior to 3.6.13. Un usuario autorizado que lleva a cabo consultas en la base de datos puede desencadenar una denegación de servicio al emitir invocaciones de applyOps especialmente diseñadas. Este problema afecta a: MongoDB Server de MongoDB Inc versiones v4.0 anteriores a 4.0.10; versiones v3.6 anteriores a 3.6.13 • https://jira.mongodb.org/browse/SERVER-35636 • CWE-20: Improper Input Validation •
CVSS: 5.3EPSS: 0%CPEs: 4EXPL: 0CVE-2020-7921 – Administrative action may disable enforcement of per-user IP whitelisting
https://notcve.org/view.php?id=CVE-2020-7921
Improper serialization of internal state in the authorization subsystem in MongoDB Server's authorization subsystem permits a user with valid credentials to bypass IP whitelisting protection mechanisms following administrative action. This issue affects MongoDB Server v4.2 versions prior to 4.2.3; MongoDB Server v4.0 versions prior to 4.0.15; MongoDB Server v4.3 versions prior to 4.3.3and MongoDB Server v3.6 versions prior to 3.6.18. Una serialización inapropiada del estado interno en el subsistema de autorización en el subsistema de autorización en MongoDB Server, permite a un usuario con credenciales no válidas omitir los mecanismos de protección de lista blanca de IP después de una acción administrativa. Este problema afecta a: MongoDB Inc. MongoDB Server versiones 4.2 anteriores a 4.2.3; versiones 4.0 anteriores a 4.0.15; versiones 4.3 anteriores a 4.3.3; versiones 3.6 anteriores a 3.6.18. • https://jira.mongodb.org/browse/SERVER-45472 • CWE-182: Collapse of Data into Unsafe Value CWE-863: Incorrect Authorization •
CVSS: 5.3EPSS: 0%CPEs: 3EXPL: 0CVE-2019-2389 – Process termination via PID file manipulation
https://notcve.org/view.php?id=CVE-2019-2389
Incorrect scoping of kill operations in MongoDB Server's packaged SysV init scripts allow users with write access to the PID file to insert arbitrary PIDs to be killed when the root user stops the MongoDB process via SysV init. This issue affects MongoDB Server v4.0 versions prior to 4.0.11; MongoDB Server v3.6 versions prior to 3.6.14; MongoDB Server v3.4 versions prior to 3.4.22. El alcance incorrecto de las operaciones de eliminación en los scripts de inicio SysV empaquetados del servidor MongoDB permite a los usuarios con acceso de escritura al archivo PID insertar PID arbitrarios que se eliminarán cuando el usuario raíz detenga el proceso de MongoDB a través de SysV init. Este problema afecta a: MongoDB Inc. MongoDB Server v4.0 versiones anteriores a 4.0.11; v3.6 versiones anteriores a 3.6.14; v3.4 versiones anteriores a 3.4.22. • https://jira.mongodb.org/browse/SERVER-40563 • CWE-20: Improper Input Validation CWE-732: Incorrect Permission Assignment for Critical Resource •
CVSS: 8.2EPSS: 0%CPEs: 4EXPL: 0CVE-2019-2390 – Code execution on Windows via OpenSSL engine injection
https://notcve.org/view.php?id=CVE-2019-2390
An unprivileged user or program on Microsoft Windows which can create OpenSSL configuration files in a fixed location may cause utility programs shipped with MongoDB server to run attacker defined code as the user running the utility. This issue MongoDB Server v4.0 versions prior to 4.0.11; MongoDB Server v3.6 versions prior to 3.6.14 and MongoDB Server v3.4 prior to 3.4.22. Un usuario o programa sin privilegios en Microsoft Windows que puede crear archivos de configuración de OpenSSL en una ubicación fija puede hacer que los programas de utilidades enviados con el servidor de MongoDB ejecuten código definido por el atacante como el usuario que ejecuta la utilidad. Este problema afecta: MongoDB Inc. Servidor MongoDB versiones 4.0 anteriores a la versión 4.0.11; versiones 3.6 anteriores a la versión 3.6.14; versiones 3.4 anteriores a la versión 3.4.22. • https://jira.mongodb.org/browse/SERVER-42233 • CWE-94: Improper Control of Generation of Code ('Code Injection') •