Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 MongoDB Server 中發現一個弱點，其中伺服器端 MozJS 指令碼引擎無條件地註冊了一個模組載入勾點，使 JavaScript 呼叫能夠使用 mongod 處理程序的權限從主機檔案系統讀取任意檔案。經過驗證的使用者可以透過特製的彙總管道命令來利用這一點，以讀取 MongoDB 伺服器處理程序可存取的敏感檔案。（CVE-2026-13078）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 MongoDB 版本為 7.0.39 之前的 7.0.x、8.0.28 之前的 8.0.x、8.2.12 之前的 8.2.x 或 8.3.7 之前的 8.3.x。因此，會受到多個弱點影響：

  - 由於某些用戶端提供的命令參數的驗證不足，具有低特權的已驗證使用者可能能夠對受角色型查詢層次存取控制保護的資料執行未獲授權的讀取及寫入。(CVE-2026-13059)

  - 在獨立的 mongod 執行個體上啟用計算模式時，在彙總管線處理期間對外部來源 BSON 資料的驗證不足可能會導致記憶體損毀，進而可能導致處理程序終止或其他意外行為。(CVE-2026-13072)

  - BSON CodeWScope 元素存取子中缺少邊界檢查允許攻擊者透過特製的聚合管道觸發越界堆積讀取，進而導致伺服器當機或相鄰堆積記憶體內容洩漏。(CVE-2026-13077)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 MongoDB Server 中发现一个漏洞，其中服务器端的 MozJS 脚本引擎会无条件注册模块加载挂钩，可让 JavaScript 调用使用 mongod 进程的权限从主机文件系统读取任意文件。经认证的用户可利用此漏洞，通过构建的聚合管道命令读取 MongoDB 服务器进程可访问的敏感文件。（CVE-2026-13078）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 MongoDB 版本为低于 7.0.39 的 7.0.x、低于 8.0.28 的 8.0.x、低于 8.2.12 的 8.2.x 或低于 8.3.7 的 8.3.x。因此，该应用程序受到多个漏洞的影响：

  - 低权限的经身份验证用户可能能够对受基于角色的查询级别访问控制保护的数据执行未经授权的读取和写入，这是因为未充分验证客户端提供的某些命令参数所导致。（CVE-2026-13059）

  - 当在独立的 mongod 实例上启用计算模式时，在聚合管道处理期间对外部来源的 BSON 数据验证不足可导致内存损坏，从而可能导致进程终止或其他意外行为。（CVE-2026-13072）

  - BSON CodeWScope 元素访问器中缺少边界检查，允许攻击者通过构建的聚合管道触发越界堆读取，从而造成服务器崩溃或相邻堆内存内容泄露。（CVE-2026-13077）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている MongoDB のバージョンは、7.0.39 より前の 7.0.x、8.0.28 より前の 8.0.x、8.2.12 より前の 8.2.x、または 8.3.7 より前の 8.3.x です。そのため、以下の複数の脆弱性の影響を受けます。

  - 特定のクライアント指定のコマンドパラメーターの検証が不十分なため、権限の低い認証されたユーザーでも、ロールベースのクエリレベルのアクセスコントロールによって保護されるデータに対して、承認されていない読み取りおよび書き込みを実行できる可能性があります。(CVE-2026-13059)

  - スタンドアロンの mongod インスタンスでコンピュートモードが有効な場合、計パイプライン処理中に外部から提供された BSON データの検証が不十分であるため、メモリ破損が発生し、プロセスの終了やその他の予期しない動作につながる可能性があります。(CVE-2026-13072)

  - BSON の CodeWScope 要素アクセサーに境界チェックがないため、攻撃者は細工された集計パイプラインを介して範囲外ヒープ読み取りを引き起こすことが可能であり、これによりサーバークラッシュまたは隣接するヒープメモリ内容の漏えいが発生します。(CVE-2026-13077)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - サーバー側の MozJS スクリプトエンジンが、mongod プロセスの権限を使用してホストファイルシステムから任意のファイルを読み取るための JavaScript 呼び出しを可能にするモジュールローディングフックを、MongoDB Server で無条件に登録する脆弱性が発見されました。認証されたユーザーがこれを悪用して、細工されたアグリゲーションパイプラインコマンドを通じて、MongoDB サーバープロセスがアクセス可能な機密ファイルを読み取る可能性があります。(CVE-2026-13078)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The version of MongoDB installed on the remote host is 7.0.x prior to 7.0.39, 8.0.x prior to 8.0.28, 8.2.x prior to 8.2.12, or 8.3.x prior to 8.3.7. It is, therefore, affected by multiple vulnerabilities:

  - An authenticated user with low privileges may be able to perform unauthorized reads and writes on data     protected by role-based query-level access controls, due to insufficient validation of certain     client-supplied command parameters. (CVE-2026-13059)

  - When compute mode is enabled on a standalone mongod instance, insufficient validation of externally     sourced BSON data during aggregation pipeline processing can result in memory corruption, potentially     leading to process termination or other unintended behavior. (CVE-2026-13072)

  - A missing bounds check in the BSON CodeWScope element accessors allows an attacker to trigger an     out-of-bounds heap read via a crafted aggregation pipeline, causing either a server crash or disclosure     of adjacent heap memory contents. (CVE-2026-13077)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A vulnerability was discovered in MongoDB Server where the server-side MozJS scripting engine     unconditionally registered a module loading hook that enables JavaScript calls to read arbitrary files     from the host filesystem using the mongod process's privileges. An authenticated user could exploit this     through crafted aggregation pipeline commands to read sensitive files accessible to the MongoDB server     process. (CVE-2026-13078)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
329420	Linux Distros 未修補弱點：CVE-2026-13078	Nessus	Misc.	7/25/2026	10/13/2026	medium
331215	MongoDB 7.0.x < 7.0.39 / 8.0.x < 8.0.28 / 8.2.x < 8.2.12 / 8.3.x < 8.3.7 多個弱點 (SERVER-128433)	Nessus	Databases	7/30/2026	10/13/2026	critical
329420	Linux Distros 未修补的漏洞：CVE-2026-13078	Nessus	Misc.	7/25/2026	10/13/2026	medium
331215	MongoDB 7.0.x < 7.0.39 / 8.0.x < 8.0.28 / 8.2.x < 8.2.12 / 8.3.x < 8.3.7 多种漏洞 (SERVER-128433)	Nessus	Databases	7/30/2026	10/13/2026	critical
331215	MongoDB 7.0.x < 7.0.39 / 8.0.x < 8.0.28 / 8.2.x < 8.2.12 / 8.3.x < 8.3.7 の複数の脆弱性 (SERVER-128433)	Nessus	Databases	7/30/2026	10/13/2026	critical
329420	Linux Distros のパッチ未適用の脆弱性: CVE-2026-13078	Nessus	Misc.	7/25/2026	10/13/2026	medium
331215	MongoDB 7.0.x < 7.0.39 / 8.0.x < 8.0.28 / 8.2.x < 8.2.12 / 8.3.x < 8.3.7 Multiple Vulnerabilities (SERVER-128433)	Nessus	Databases	7/30/2026	10/13/2026	critical
329420	Linux Distros Unpatched Vulnerability : CVE-2026-13078	Nessus	Misc.	7/25/2026	10/13/2026	medium

Detections

Analytics

Plugins Search

medium

critical

medium

critical

critical

medium

critical

medium