p PatchFirst

CVE-2026-106436

CVE-2026-106436 · Application denial of service and data truncation via unchecked BSON append failures in MongoDB PHP Driver

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The BSON encoder in the MongoDB PHP Driver does not check some return values after a document exceeds libbson's size limit. This can leave the encoder in an invalid state. An unauthenticated actor who can cause an affected application to encode an unusually large data structure can terminate the PHP worker or cause the resulting document to omit fields. No MongoDB server connection or database authentication is required.

CVSS 6.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • php driver

    Версии
    • ≥ 1.3.0, < 1.21.11: Затронуто (semver)
    • ≥ 2.0.0, < 2.1.11: Затронуто (semver)
    • ≥ 2.2.0, < 2.5.4: Затронуто (semver)

    Обновитесь до 1.21.11; Обновитесь до 2.1.11; Обновитесь до 2.5.4

  • php-mongodb Debian:12

    Версии
    • 1.15.0+1.11.1+1.9.2+1.7.5-1
    • 1.19.3-1
    • 1.19.4-2
    • 1.19.4-3~exp2
    • 1.19.4-3~exp3
    • 1.19.4-3~exp4
    • 1.20.0-1
    • 1.20.1-1
    • 1.21.0-1
    • 2.0.0-1
    • 2.1.0-1
    • 2.5.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Debian:13

    Версии
    • 2.0.0-1
    • 2.0.0-1+deb13u1
    • 2.1.0-1
    • 2.5.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Debian:14

    Версии
    • 2.0.0-1
    • 2.1.0-1
    • 2.5.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:16.04:LTS

    Версии
    • 1.1.2-2~ubuntu1
    • 1.1.5-1~build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:18.04:LTS

    Версии
    • 1.2.3-1build1
    • 1.3.4-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:20.04:LTS

    Версии
    • 1.5.5-1build1
    • 1.6.1-4
    • 1.6.1-4build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:22.04:LTS

    Версии
    • 1.9.0+1.7.5-2build2
    • 1.11.1+1.9.2+1.7.5-4
    • 1.12.0+1.9.2+1.7.5-3
    • 1.12.0+1.9.2+1.7.5-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:24.04:LTS

    Версии
    • 1.15.0+1.11.1+1.9.2+1.7.5-1build1
    • 1.15.0+1.11.1+1.9.2+1.7.5-1ubuntu1
    • 1.15.0+1.11.1+1.9.2+1.7.5-1ubuntu2
    • 1.15.0+1.11.1+1.9.2+1.7.5-1ubuntu3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:26.10

    Версии
    • 2.1.7-0ubuntu1
    • 2.1.7-0ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • php-mongodb Ubuntu:26.04:LTS

    Версии
    • 2.1.0-1
    • 2.1.7-0ubuntu1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →