Alertas prioritarias y resúmenes de Radar por correo.
Comprobando disponibilidad…
Aviso de seguridad
A flaw in SRV hostname validation can redirect an application’s database traffic if an attacker controls the DNS response. TLS does not independently stop this because validation follows the redirected hostname.
Quiénes deben revisar: Developers and operators using the MongoDB driver in Node.js applications.
Acción recomendadaCorrección disponible
Update the Node.js driver to 7.8.0 or later and redeploy applications using mongodb+srv. Check DNS integrity and investigate unexpected database destinations.
Special characters in an SRV target create a mismatch between the hostname checked and the address used. Possible consequences include credential or application data disclosure and altered query results.
This concerns the client driver, not the separately tracked MongoDB replication flaw. No attacks are established in the reviewed manufacturer record.
Version 7.8.0 was released on October 30; its current release notes identify the SRV issue. The CNA record was published on November 12. Version 7.8.0 also changes timeout behavior: timeoutMS and timeoutMode become ineffective. Migrate the application’s timeout settings and test compatibility rather than assuming an unchanged configuration still enforces deadlines.
Proveedor / autor
MongoDB
Identificadores de vulnerabilidad
CVE-2026-126837
Acceso necesario
Depende de la aplicación o configuración
Divulgado
12 nov 2026
Última revisión de evidencia
14 nov 2026 UTC
¿Qué sistemas y versiones están afectados?
Producto
Afectado
Versión corregida / acción
MongoDB Node.js driver
3.3.3 through releases before 7.8.0, using mongodb+srv connection strings. An attacker must be able to forge or modify the DNS SRV response.
7.8.0 or later
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
¿Qué se sabe de la explotación?
Ataques observados
Sin ataques reportados
Fundamento de la prioridad
The manufacturer identifies a corrected boundary and a DNS response prerequisite. The reviewed sources do not establish exploitation.
¿Qué implica para los entornos de IA?
Inventory application dependencies, rather than only database server versions.
Added verified scope, correction and evidence limits from primary sources.
Acciones de respuesta
Prepará tu respuesta
0 de 4 acciones registradas como completadas
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
1
Check runtime dependencies
Identify deployed driver versions and connection string schemes. mongodb:// connections are outside the reported scope.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
2
Update deployed applications
Upgrade the driver, validate compatibility and redeploy the application. Updating the database server alone does not replace the driver.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3
Migrate timeout settings
In 7.8.0, timeoutMS and timeoutMode no longer enforce timeouts. Review serverSelectionTimeoutMS, waitQueueTimeoutMS, socketTimeoutMS and maxTimeMS as appropriate; test operation limits after upgrading. Retain safe SRV host validation.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
4
Review unexpected destinations
Oktsec recommends preserving DNS and connection records. If evidence indicates redirection, assess exposed credentials and application data.
Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.
3. Compartí el plan
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
No hay un CVE coincidente en el corte del catálogo revisado. Esto no demuestra ausencia de explotación. Revisá las fuentes del incidente y las indicaciones del proveedor.
0.21% de probabilidad estimada de explotación en los próximos 30 días. No es la probabilidad de un ataque a tu organización.
Puntaje del 14 nov 2026 · Superior al 10.6% de las vulnerabilidades evaluadas.Sin cambios desde 13 nov 2026.Datos de FIRST EPSS
FIRST EPSS · Revisado 2026-11-14 21:07 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.