CVE-2025-14847highbajo ataqueCWE-130

CVE-2025-14847: fallo de gravedad alta en MongoDB Server

Zlib compressed protocol header length confusion may allow memory read

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MongoDB Server+ Monitorear MongoDB

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.7epss 83%
de la publicación al armael mismo día
Publicada en NVD19 dic
1ª PoC30 jul
metasploit19 dic
CISA KEV+10d
Acción exigida por CISAplazo federal: 2026-01-19

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Los servidores MongoDB que utilizan compresión Zlib tienen una falla donde los campos de longitud desalineados en los encabezados permiten que atacantes no autenticados lean memoria no inicializada del servidor. Esto podría exponer datos sensibles sin requerir autenticación.

Detalle técnico

La vulnerabilidad existe en el análisis de encabezados del protocolo comprimido Zlib, donde inconsistencias en campos de longitud permiten que clientes remotos no autenticados disparen lecturas de memoria heap. Un atacante puede enviar mensajes de protocolo comprimido malformados para filtrar contenido de memoria heap no inicializada, exponiendo potencialmente datos sensibles, sin necesidad de autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Productos afectados
MongoDB Inc. · MongoDB Server
PoCs públicas encontradas — 75
githubgithub.com/Black1hp/mongobleed-scanner★ 36githubgithub.com/cybertechajju/CVE-2025-14847_Expolit★ 31githubgithub.com/ProbiusOfficial/CVE-2025-14847★ 25githubgithub.com/onewinner/CVE-2025-14847★ 14githubgithub.com/Security-Phoenix-demo/mongobleed-exploit-CVE-2025-14847★ 13githubgithub.com/chinaxploiter/CVE-2025-14847-PoC★ 4githubgithub.com/joshuavanderpoll/CVE-2025-14847★ 3githubgithub.com/franksec42/mongobleed-exploit-CVE-2025-14847★ 3githubgithub.com/peakcyber-security/CVE-2025-14847★ 2githubgithub.com/nma-io/mongobleed★ 2githubgithub.com/alexcyberx/CVE-2025-14847_Expolit★ 2githubgithub.com/sakthivel10q/CVE-2025-14847★ 1githubgithub.com/lincemorado97/CVE-2025-14847★ 1githubgithub.com/FurkanKAYAPINAR/CVE-2025-14847-MongoBleed-Exploit★ 1githubgithub.com/NoNameError/MongoBLEED---CVE-2025-14847-POC-★ 1githubgithub.com/waheeb71/CVE-2025-14847★ 1githubgithub.com/CadGoose/MongoBleed-CVE-2025-14847-Fully-Automated-scanner★ 1githubgithub.com/AdolfBharath/mongobleed★ 1githubgithub.com/InfoSecAntara/CVE-2025-14847-MongoDB★ 1githubgithub.com/dawnsmithcyber/azure-vulnerability-remediation-project★ 1githubgithub.com/0xBlackash/CVE-2025-14847★ 0githubgithub.com/Systemhaus-Schulz/MongoBleed-CVE-2025-14847★ 0githubgithub.com/shokribardiya/CVE-2025-14847-mongobleed★ 0githubgithub.com/im-hanzou/mongobleed★ 0githubgithub.com/ElJoamy/MongoBleed-exploit★ 0githubgithub.com/sahar042/CVE-2025-14847★ 0githubgithub.com/saereya/CVE-2025-14847---MongoBleed★ 0githubgithub.com/KingHacker353/CVE-2025-14847_Expolit★ 0githubgithub.com/pedrocruz2202/mongobleed-scanner★ 0githubgithub.com/pedrocruz2202/pedrocruz2202.github.io★ 0githubgithub.com/sakthivel10q/sakthivel10q.github.io★ 0githubgithub.com/keraattin/Mongobleed-Detector-CVE-2025-14847★ 0githubgithub.com/amnnrth/CVE-2025-14847★ 0githubgithub.com/Rishi-kaul/CVE-2025-14847-MongoBleed★ 0githubgithub.com/14mb1v45h/CYBERDUDEBIVASH-MONGODB-DETECTOR-v2026★ 0githubgithub.com/kuyrathdaro/cve-2025-14847★ 0githubgithub.com/JemHadar/MongoBleed-DFIR-Triage-Script-CVE-2025-14847★ 0githubgithub.com/tunahantekeoglu/MongoDeepDive★ 0githubgithub.com/vfa-tuannt/CVE-2025-14847★ 0githubgithub.com/j0lt-github/mongobleedburp★ 0githubgithub.com/sho-luv/MongoBleed★ 0vulncheckvulncheck.com/xdb/91956412657dno verificadovulncheckvulncheck.com/xdb/e36c882b2d40no verificadovulncheckvulncheck.com/xdb/8e708050ef93no verificadovulncheckvulncheck.com/xdb/ddb87b41e095no verificadovulncheckvulncheck.com/xdb/e31e64b6b94dno verificadovulncheckvulncheck.com/xdb/ca2660a74092no verificadovulncheckvulncheck.com/xdb/7f5a8a61dceeno verificadovulncheckvulncheck.com/xdb/8c5a46767f5dno verificadovulncheckvulncheck.com/xdb/cc9776783586no verificadovulncheckvulncheck.com/xdb/c72b6137f65cno verificadovulncheckvulncheck.com/xdb/b4df1eeb4a8eno verificadovulncheckvulncheck.com/xdb/4ef756de9b3fno verificadovulncheckvulncheck.com/xdb/7ccc79f37b95no verificadovulncheckvulncheck.com/xdb/e3cc60307323no verificadovulncheckvulncheck.com/xdb/5d99c938f82dno verificadovulncheckvulncheck.com/xdb/5c0359da676bno verificadovulncheckvulncheck.com/xdb/bcaf58f61476no verificadovulncheckvulncheck.com/xdb/ce09e9307c7bno verificadovulncheckvulncheck.com/xdb/c735cd3246ebno verificadovulncheckvulncheck.com/xdb/09d5780d04cbno verificadovulncheckvulncheck.com/xdb/02dd79a637aano verificadovulncheckvulncheck.com/xdb/c8e481b4aa15no verificadovulncheckvulncheck.com/xdb/88bcfbcfa6fcno verificadovulncheckvulncheck.com/xdb/fe706894a1a9no verificadovulncheckvulncheck.com/xdb/52d82b1418a7no verificadovulncheckvulncheck.com/xdb/7bec0bc91cd8no verificadovulncheckvulncheck.com/xdb/d932733b46e3no verificadovulncheckvulncheck.com/xdb/181477ab83b1no verificadovulncheckvulncheck.com/xdb/a49c59c0e531no verificadovulncheckvulncheck.com/xdb/db6becc2eb44no verificadovulncheckvulncheck.com/xdb/f4566076abb2no verificadovulncheckvulncheck.com/xdb/70d85c77436bno verificadovulncheckvulncheck.com/xdb/a4c0f261204fno verificadovulncheckvulncheck.com/xdb/7ad9d08496b2no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — MongoDB Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-32040MEDIUMLarge aggregation pipelines with a specific stage can crash mongod under default configurationEPSS 2.0%CVE-2020-7925HIGHDenial of Service when processing malformed Role namesEPSS 1.7%CVE-2019-20925HIGHDenial of service via malformed network packetEPSS 1.7%CVE-2018-20802MEDIUMPost-auth queries on compound index may crash mongodEPSS 1.6%CVE-2020-7928MEDIUMImproper neutralization of null byte leads to read overrunEPSS 1.4%CVE-2018-20803MEDIUMInfinite loop in aggregation expressionEPSS 1.4%