mongodb: Reject "." and NUL bytes in database and collection names

CAO 8.1CVE-2026-81525 · GHSA-65fr-j4p9-vc33 · Công bố 27/08/2026 · cập nhật 29/09/2026

Tóm tắt nhanh

CVE-2026-81525 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng mongodb/mongodb, php driver (mongodb), php library (mongodb).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.49%, cao hơn 42.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.4.1, 1.21.4, 1.21.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
mongodb/mongodb Packagist	`≥ 2.0.0, < 2.4.1< 1.21.4`	`2.4.11.21.4`
php driver mongodb	`≥ 2.0.0, < 2.4.1< 1.21.6`	`2.4.11.21.6`
php library mongodb	`≥ 2.0.0, < 2.4.1< 1.21.4`	`2.4.11.21.4`

Mô tả

Impact

Passing untrusted input as part of a database or collection name may result in targeting a different database or collection than specified.

Patches

Fixed in PHP library 1.21.4 and 2.4.1.

Workarounds

Validate database and collection names prior to passing into APIs.

Mô tả của NVD

The MongoDB client library for PHP does not sufficiently sanitize special elements in application-supplied namespace identifiers before using them to construct the target namespace for database operations. An application that incorporates untrusted text into these identifiers may have operations silently directed at a different storage location than the one the application intended.