Qué es y cómo funciona
Una vulnerabilidad de deserialización insegura (CWE-502) fue identificada en la biblioteca de serialización BSON del MongoDB C# Driver. La falla permite omitir la lista de tipos permitidos durante la deserialización de datos polimórficos en miembros con tipos poco definidos. Un atacante que pueda inyectar o manipular datos BSON/JSON que la aplicación luego deserialice, puede hacer que el proceso de la aplicación instancie tipos de .NET fuera de la lista permitida y los llene con valores bajo su control.
Impacto y explotación
En aplicaciones que contengan un tipo de "gadget" adecuado, esta vulnerabilidad puede llevar a la ejecución remota de código (RCE) en el contexto de la aplicación, comprometiendo la confidencialidad, integridad y disponibilidad. La técnica de ataque asociada es T1190 – Exploit Public-Facing Application del marco MITRE ATT&CK. El INCIBE-CERT de España clasifica su severidad como P (Prioritaria).
La puntuación CVSS es de 7.5, indicando una severidad alta. Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente expuestos en Internet, aunque el riesgo persiste en aplicaciones internas o no rastreadas.
Productos afectados y mitigación
La vulnerabilidad afecta al MongoDB C# Driver. Se recomienda a los desarrolladores y administradores de sistemas que utilicen este controlador:
- Actualizar a la versión más reciente del controlador una vez que MongoDB publique un parche oficial.
- Revisar y fortalecer las validaciones de entrada en las aplicaciones que deserializan datos BSON/JSON de fuentes no confiables.
| CVE | CVE-2026-126982 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| CWE | CWE-502 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.