¿Qué es la vulnerabilidad CVE-2026-119675?

CVE-2026-119675 es una vulnerabilidad de alta gravedad que afecta a la herramienta mongorestore de MongoDB Database Tools, con una puntuación CVSS de 8.6 y vector CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. El fallo surge porque la validación de nombres de colecciones maneja de forma inconsistente el prefijo system.buckets. en un volcado no confiable. Este tipo de fallos de control recuerdan a problemas de permisos como CVE-2026-58946: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios.

Un nombre de colección especialmente manipulado puede saltarse las protecciones de colecciones especiales y los filtros de espacios de nombres del operador. Como resultado, una operación de restauración puede crear una cuenta de base de datos no autorizada elegida por el usuario, incluyendo una cuenta con el rol de root.

¿A quién afecta esta vulnerabilidad de mongorestore?

Este problema afecta a las versiones de MongoDB Database Tools comprendidas entre la 100.4.0 y las versiones anteriores a la 100.20.1. La explotación requiere que un operador restaure datos no autorizados controlados por el usuario utilizando credenciales con privilegios suficientes de gestión de usuarios en el despliegue de destino.

Cabe destacar que excluir únicamente el espacio de nombres admin no previene este comportamiento. Para comprender mejor fallos relacionados con la gestión de privilegios y control, se pueden consultar antecedentes técnicos como CVE-2026-58957: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios y CVE-2026-59044: Vulnerabilidad Use-After-Free con CVSS 8.4.

¿Cómo me protejo frente a esta brecha?

Para proteger los entornos frente a CVE-2026-119675, es fundamental aplicar las actualizaciones de seguridad pertinentes y evitar procesar volcados de bases de datos procedentes de orígenes no verificados. Los administradores deben seguir un procedimiento riguroso de parcheo.

Se puede consultar la [[https://github.com/mongodb/mongo-tools/blob/master/CHANGELOG.md|Referencia técnica en github.com]] para más detalles sobre los cambios introducidos. Los pasos recomendados para la mitigación son los siguientes:

  1. Identifique todos los equipos y servidores que ejecuten MongoDB Database Tools en las versiones afectadas de la 100.4.0 a la 100.20.0.
  2. Actualice MongoDB Database Tools a la versión 100.20.1 o superior utilizando su gestor de paquetes o fuentes oficiales.
  3. Verifique la versión instalada ejecutando el comando correspondiente de la herramienta en su entorno.
  4. Evite restaurar volcados de bases de datos no confiables o procedentes de terceros no verificados.