Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten

Kurzinfo

Metadaten

  • Original (extern): Link oeffnen
  • Veroeffentlicht: 2025-12-29 12:15 UTC
  • Importiert: 2026-10-21 13:13 UTC
  • CVSS: 8.7
  • Quelle-ID: bsi_csw
  • uid_hash: d543ad1f8890104a11dddfb29abb9269813f1d8433a6a21e6a930cf9e0ef000f
BSI CSW

Inhalt

BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten

  Navigation und Service
  
    
      Springe direkt zu:
   
    
      Inhalt
      Hauptmenü
      Suche
   
 

    
      Menü
      
        Menü
          
       
     
   

  
    
      
        
          Servicemenü
          Servicemenue

  
        
    Kon­takt

    
        














































English






    
        
    Ge­bär­den­spra­che

    
        
    Leich­te Spra­che

    
        
    Nut­zungs­be­din­gun­gen

    
        














    Log­in



    

        
     
      
        
          
           
              
  


            
         
            
             
                
                
                
              
           
        
     
      
       
          
  


        
     
      
        
          Hauptmenü
          

          
      Das BSI
  
        
        
        
        
          Das BSI
        
          
                
      Cy­ber­na­ti­on Deutsch­land
  
            
                
      Auf­trag
  
            
                
      Or­ga­ni­sa­ti­on und Auf­bau
  
            
                
      Leit­bild
  
            
                
      Zeit­strahl
  
            
                
      BSI Stand­orte
  
            
                
      Um­welt­er­klä­rung
  
            
      
    
  
          
      The­men
  
        
        
        
        
          Alle Themen
        
          
                
      Staat und Ver­wal­tung
  
                  Unsere Top-Themen
                  
                    
                        
      Na­tio­na­les IT-La­ge­zen­trum
  
                    
                        
      CERT-Bund
  
                    
                        
      Zu­sam­men­ar­beit mit Bund und Län­dern
  
                    
                        
      Si­cher­heits­be­ra­tung
  
                    
                        
      Min­dest­stan­dards Bund
  
                    
                  Alle Themen
                
              
            
                
      Un­ter­neh­men und Or­ga­ni­sa­tio­nen
  
                  Unsere Top-Themen
                  
                    
                        
      Cy­ber Re­si­li­ence Act
  
                    
                        
      Grund­schutz in der In­for­ma­ti­ons­si­cher­heit
  
                    
                        
      Thre­at In­tel­li­gence
  
                    
                        
      IT-Si­cher­heits­kenn­zei­chen
  
                    
                        
      Zer­tif­zie­rung, Kenn­zeich­nung und An­er­ken­nung
  
                    
                  Alle Themen
                
              
            
                
      Ver­brau­che­rin­nen und Ver­brau­cher
  
                  Unsere Top-Themen
                  
                    
                        
      Si­cher­heit beim On­li­neshop­ping
  
                    
                        
      On­line-Ac­count ab­si­chern
  
                    
                        
      Be­dro­hun­gen durch Cy­ber-Kri­mi­nel­le
  
                    
                        
      E-Mail, So­ci­al Me­dia, Mes­sen­ger und Co.
  
                    
                        
      Smart Me­te­ring & Ladein­fra­struk­tur
  
                    
                  Alle Themen
                
              
            
                
      Re­gu­lier­te Wirt­schaft
  
                  Unsere Top-Themen
                  
                    
                        
      NIS-2-re­gu­lier­te Un­ter­neh­men
  
                    
                        
      Kri­ti­sche In­fra­struk­tu­ren (KRI­TIS)
  
                    
                        
      KRI­TIS-FAQ
  
                    
                  Alle Themen
                
              
            
      
    
  
          
      IT-Si­cher­heits­vor­fall
  
        
        
        
        
          IT-Sicherheitsvorfall
        
          
                
      Ver­brau­che­rin­nen und Ver­brau­cher
  
            
                
      Un­ter­neh­men
  
            
                
      Kri­ti­sche In­fra­struk­tu­ren und mel­de­pflich­ti­ge Un­ter­neh­men
  
            
                
      CVD-Richt­li­nie des BSI
  
            
      
    
  
          
      Kar­rie­re
  
        
        
        
        
          Karriere
        
          
                
      Will­kom­men im #TeamB­SI
  
            
                
      Wa­rum BSI?
  
            
                
      Ar­bei­ten im BSI
  
            
                
      Ein­stieg
  
            
                
      FAQ
  
            
                
      Stel­len­an­ge­bo­te
  
            
                
      Ter­mi­ne
  
            
                
      Kon­takt Per­so­nal­ge­win­nung
  
            
      
    
  
          
      Ser­vice
  
        
        
        
        
          Service
        
          
                
      Pres­se
  
            
                


























Mediathek






            
                
      Pu­bli­ka­tio­nen
  
            
                
      Newslet­ter und So­ci­al Me­dia
  
            
                
      Ver­an­stal­tun­gen
  
            
                
      Ver­ga­ben an Ex­ter­ne
  
            
                
      Die E-Rech­nung im BSI
  
            
                
      Kos­ten für Leis­tun­gen des BSI
  
            
                
      Kon­takt
  
            
                
      Fra­gen & Ant­wor­ten
  
            
      
    
  
          


  BSI-Portal


        
        
        
        
          <abbr title="Bundesamt für Sicherheit in der Informationstechnik">BSI</abbr>-Portal
        
          
      
    
  
    
      
      
      SucheOeffnen

Suche

Suche 



          
          
          


        
            



        
          Häufig gesucht
        
          
                
                  
                    Regulierung nach NIS-2 
                
              
            
                
                  
                    Gefährdungen durch Ransomware
                
              
            
                
                  
                    Zertifizierung Produkte & Personen (FAQ)
                
              
            
                
                  
                    Zertifizierung Common Criteria
                
              
            
                
                  
                    Elektronische Identitäten
                
              
            
                
                  
                    Digitaler Verbraucherschutz
                
              
            
                
                  
                    Technische Richtlinien
                
              
            
                
                  
                    Kritische Infrastrukturen
                
              
            
                
                  
                    Künstliche Intelligenz
                
              
            
      
    
      
        
        
    
  





  
  
    
      
        
          Sie sind hier:
          



  
  Zur Startseite

Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten

Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten

Kritikalität 2

BeschreibungAm 19. Dezember 2025 veröffentlichte das Unternehmen MongoDB ein Advisory zu einer Schwachstelle in seinem gleichnamigen NoSQL-Datenbankmanagementsystem. Darin informierte der Hersteller über die Schwachstelle mit der Kennung CVE-2025-14847, welche nach dem Common Vulnerability Scoring System mit dem Schweregrad "hoch" (8.7 von 10 nach CVSS 4.0) bewertet wurde. Die Schwachstelle erlaubt es Angreifern ohne Authentifizierung aus der Ferne sensible Informationen aus dem Arbeitsspeicher der MongoDB Instanz auszulesen. Eine erfolgreiche Ausnutzung kann zur Offenlegung sensibler Daten führen, darunter möglicherweise Anmeldeinformationen wie Datenbankpasswörter (im Klartext), API- und/oder Cloud-Schlüssel, Sitzungstoken, personenbezogenen Daten, interne Protokolldaten, Konfigurationen, oder andere sensible Informationen, die im Arbeitsspeicher abgelegt sind. 

Zu Weihnachten am 26. Dezember wurde ein funktionsfähiges Proof-of-Concept Exploit für CVE-2025-14847 veröffentlicht. Kurz darauf wurde eine aktive Ausnutzung mittels des Exploits beobachtet.

    Publikationen
        
          
                
                      Download Version 1.0: MongoDB - Aktiv ausgenutzte Schwachstelle erlaubt Offenlegung sensibler Daten (PDF)
                  
            
      





  
  





  Fußbereich
   
    
      
        Seite drucken
     
   
 





  Unternavigation aller Website-Bereiche
      
      
      
        Themen
      
      
                

    Ver­brau­che­rin­nen und Ver­brau­cher

                

    Un­ter­neh­men und Or­ga­ni­sa­tio­nen

                

    Staat und Ver­wal­tung

                

    Re­gu­lier­te Wirt­schaft

      
      
        Das BSI
      
      
                

    Leit­bild

                

    Or­ga­ni­sa­ti­on und Auf­bau

                

    BSI Stand­orte

                

    Auf­trag

                

    Kon­takt

      
                 

      
      
      
        Karriere
      
      
                

    Ar­bei­ten im BSI

                

    Stel­len­an­ge­bo­te

                

    Stu­di­um und Aus­bil­dung

      
                 

      
      
      
        IT-Sicherheitsvorfall
      
      
                

    IT-Si­cher­heits­vor­fall

      
                 

  
    
      Folgen Sie uns
      
            
                
                  Das BSI auf Bluesky
                
            
            
                
                  BSI-Instagram
                
            
            
                
                  Das BSI auf LinkedIn
                
            
            
                
                  Das BSI auf Mastodon
                
            
            
                
                  Newsletterverwaltung
                
            
            
                
                  Das BSI auf YouTube
                
            
            
                
                  Das BSI auf Xing
                
            
            
                
                  RSS
                
            
      


    
  

    
    
      
        
          

      Im­pres­s­um
                
          

      Da­ten­schutz
                
          

      Nut­zungs­be­din­gun­gen
                
          

      Bar­rie­re­frei­heit
                
       
     
      
       
          © Bundesamt für Sicherheit in der Informationstechnik
        
     
   
 
  
    
      
       
          Top
          Top
       
     
   
 










  
    
      
        Hinweis zur Verwendung von Cookies
      
    
    
      Das BSI speichert keine personenbezogenen Daten der Webseitenbesucher. Details in unserer Datenschutzerklärung

    
    
      OK

Verknuepfte CVEs

CVE-ID Severity (Quelle) CVSS (Quelle) Severity (CVE.org) CVSS (CVE.org) EPSS EPSS-Pctl Veroeffentlicht (CVE.org)

CVE-2025-14847

HIGH

8.7

HIGH

8.7

0.83218

0.99678

2025-12-19

Externe Referenzen

Bezeichnung Typ CVE Quelle

GitHub 0x-mahmoud-hussien/My-CyberSecurity-Journey

 POC CVE-2025-14847 github_poc

GitHub 0xBlackash/CVE-2025-14847: CVE-2025-14847

 POC CVE-2025-14847 github_poc

GitHub 0xsyr0/OSCP: OSCP Cheat Sheet

 POC CVE-2025-14847 github_poc

GitHub AmDumDee/global-threat-intel: Executive-focused cybersecurity threat intelligence. Business impact analysis of current threats. C-suite language, not

POC CVE-2025-14847 github_poc

GitHub AndreTorneiro6/fight_club

 POC CVE-2025-14847 github_poc

GitHub Ayush-Bulbule/Ayush-Bulbule: Config files for my GitHub profile.

 POC CVE-2025-14847 github_poc

GitHub Byungju/cve-research-lab: 주요 CVE 분석

 POC CVE-2025-14847 github_poc

GitHub DarkFunct/TK-CVE-Repo: TK-CVE-Repo

 POC CVE-2025-14847 github_poc

GitHub EGA-archive/beacon2-pi-api: Beacon v2 Production Implementation (API)

 POC CVE-2025-14847 github_poc

GitHub Farenhytee/database-sentinel: Claude Skill that audits your projects for RLS misconfigurations, exposed keys, auth bypasses, and storage vulnerabiliti

 POC CVE-2025-14847 github_poc

GitHub GODofExploit/exploit-arsenal: 241 live-validated exploit PoCs (72 CISA KEV): RCEs, auth bypasses, deserialization, XXE, IDOR, memory disclosure, file-

 POC CVE-2025-14847 github_poc

GitHub GhostTroops/TOP: TOP All bugbounty pentesting CVE-2023- POC Exp RCE example payload Things

 POC CVE-2025-14847 github_poc

GitHub InnerFireZ/f-scan: Fast scan from your phone using termux

 POC CVE-2025-14847 github_poc

GitHub K3ysTr0K3R/K3ysTr0K3R: Config files for my GitHub profile.

 POC CVE-2025-14847 github_poc

GitHub Meluukoi/vulnerability-management-lab: Hands-on vulnerability management project using Nessus Essentials to identify, validate, and document security findings.

 POC CVE-2025-14847 github_poc

GitHub Mr-xn/Penetration_Testing_POC: 渗透测试有关的POC、EXP、脚本、提权、小工具等---About penetration-testing python-script poc getshell csrf xss cms php-getshell domainmod-xss

 POC CVE-2025-14847 github_poc

GitHub NiNiyas/awesome-stars: Made with https://github.com/NiNiyas/starred

 POC CVE-2025-14847 github_poc

GitHub Nsbx/awesome-stars: My Awesome List generated by : https://github.com/abhijithvijayan/stargazed

 POC CVE-2025-14847 github_poc

GitHub Ostorlab/KEV: Ostorlab KEV: One-command to detect most remotely known exploitable vulnerabilities. Sourced from CISA KEV, Google's Tsu

 POC CVE-2025-14847 github_poc

GitHub Ostorlab/agent_asteroid: Agent responsible for detecting remote vulnerabilities, a robust scanner.

 POC CVE-2025-14847 github_poc

GitHub Pocee/Pocee

 POC CVE-2025-14847 github_poc

GitHub Pocee/Sherlock-MangoBleed: Explico de forma ténica como resolver el Sherlock MangoBleed.

 POC CVE-2025-14847 github_poc

GitHub PokeMasterCP/Lab-Writeups: A growing collection of cybersecurity lab notes and walkthroughs from platforms such as Hack The Box, TryHackMe, and oth

 POC CVE-2025-14847 github_poc

GitHub Tavish9/awesome-daily-AI-arxiv: 🚀 Daily AI Research Digest: Tracking breakthroughs in AI/NLP/CV/Robotics with dynamic updates and paper navigation.

 POC CVE-2025-14847 github_poc

GitHub Threekiii/CVE: 一个 CVE 漏洞预警知识库，无 exp/poc，部分包含修复方案。A knowledge base of CVE security vulnerability, no PoCs/exploits.

 POC CVE-2025-14847 github_poc

GitHub Xuchen-Li/cv-arxiv-daily: Automatically update arXiv papers about SOT & VLT, Multi-modal Learning, LLM and Video Understanding using Github Actio

 POC CVE-2025-14847 github_poc

GitHub akansha-14/Nexora-Technologies-Lab

 POC CVE-2025-14847 github_poc

GitHub arxivsub/arXivSub_daily_arxiv: Daily arXiv AI summarization powered by arXivSub

 POC CVE-2025-14847 github_poc

GitHub byst4nder/starList

 POC CVE-2025-14847 github_poc

GitHub cat-project-hat/cat-botnet

 POC CVE-2025-14847 github_poc

GitHub ctkqiang/CVE-Exploits: 一个收集各种CVE漏洞的PoC（概念验证）或Exploit（漏洞利用）工具的仓库。旨在为安全研究、渗透测试提供参考和便利。

 POC CVE-2025-14847 github_poc

GitHub darmayo/Pentest-Toolkit: Koleksi tools pilihan untuk efisiensi Reconnaissance, OSINT, dan Security Auditing. Dirancang untuk mempercepat alur ker

 POC CVE-2025-14847 github_poc

GitHub darmayo/Web-Pentest

 POC CVE-2025-14847 github_poc

GitHub dick318/awesome-stars

 POC CVE-2025-14847 github_poc

GitHub dyeat/cve-reproduction: A collection of CVE reproductions with proof-of-concept code, technical analyses, and detailed write-ups. For defensive

POC CVE-2025-14847 github_poc

GitHub emmanuelgjr/genai_incidents: Single source of truth for GenAI and agentic AI security incidents, mapped to OWASP LLM Top 10, OWASP Agentic Top 10 (AS

 POC CVE-2025-14847 github_poc

GitHub enhansome/enhansome-cve-poc

 POC CVE-2025-14847 github_poc

GitHub flapdoodle-oss/de.flapdoodle.embed.mongo.packageresolver: mongodb package resolver

 POC CVE-2025-14847 github_poc

GitHub getindiekit/indiekit: The little Node.js server with all the parts needed to publish content to your personal website and share it on social n

 POC CVE-2025-14847 github_poc

GitHub giterlizzi/secdb-feeds: SecDB - Security Feeds

 POC CVE-2025-14847 github_poc

GitHub hiifong/starList: Export your star's repository list

 POC CVE-2025-14847 github_poc

GitHub hugefiver/mystars

 POC CVE-2025-14847 github_poc

GitHub iamthefrogy/BountyHound: Monitors and curates bug-bounty related repositories weekly (Monday).

 POC CVE-2025-14847 github_poc

GitHub ilias404/HTB-Sherlocks

 POC CVE-2025-14847 github_poc

GitHub j0lt-github/mongobleedburp: Burp Suite extension to detect CVE-2025-14847 (MongoBleed) via manual leak tests from a dedicated UI tab.

 POC CVE-2025-14847 github_poc

GitHub joaomagfreitas/stars: Complete list of repositories I've starred

 POC CVE-2025-14847 github_poc

GitHub liuzhen9320/zstar: They said organizing stars was extremely troublesome, so I lent a hand.

 POC CVE-2025-14847 github_poc

GitHub ltroll/threatstream_importer: A simple script to send indicators to Threatstream

 POC CVE-2025-14847 github_poc

GitHub maxgfr/awesome-stars: List of repositories that I liked on Github

 POC CVE-2025-14847 github_poc

GitHub mooyoul/awesome-stars: A curated list of my GitHub stars

 POC CVE-2025-14847 github_poc

GitHub mrhenrike/MikrotikAPI-BF: RouterOS Attack & Exploitation Framework — 40 CVE/EDB exploits, MAC-Server L2, credential decoder, NPK analyzer, 300-thr

 POC CVE-2025-14847 github_poc

GitHub nomi-sec/PoC-in-GitHub: 📡 PoC auto collect from GitHub. ⚠️ Be careful Malware.

 POC CVE-2025-14847 github_poc

GitHub onewinner/Lightx: Lightx 是一款轻量级、高效率的网络安全扫描工具，专为安全研究人员和渗透测试工程师设计。它集成了端口扫描、服务识别、Web指纹识别、漏洞扫描和弱口令检测等功能，提供全面的安全评估能力。并覆盖多数两高一弱场景。

 POC CVE-2025-14847 github_poc

GitHub pedrocruz2202/mongobleed-scanner: 🔍 Scan for MongoDB vulnerabilities with MongoBleed, a high-performance tool for detecting CVE-2025-14847 across large ne

 POC CVE-2025-14847 github_poc

GitHub rogersanz/agentic-aisec-treasure: Agentic AI Security Treasure

 POC CVE-2025-14847 github_poc

GitHub rxerium/CISA-KEV: An automated repo to track Nuclei template scanning capabilities against the CISA KEV.

 POC CVE-2025-14847 github_poc

GitHub sakthivel10q/CVE-2025-14847: 🛠 Exploit the CVE-2025-14847 vulnerability in MongoDB to disclose sensitive heap memory using a Python script that analy

 POC CVE-2025-14847 github_poc

GitHub sangam14/my-awesome-stars: my personal gitstars

POC CVE-2025-14847 github_poc

GitHub shokribardiya/CVE-2025-14847-mongobleed: CVE-2025-14847 mongobleed python file

POC CVE-2025-14847 github_poc

GitHub svg153/awesome-stars

 POC CVE-2025-14847 github_poc

GitHub timoguin/stars: My starred repositories

 POC CVE-2025-14847 github_poc

GitHub turtletechmw/oscp-learn

 POC CVE-2025-14847 github_poc

GitHub tylzars/awesome-vrre-writeups: A collection of Vulnerability Research and Reverse Engineering writeups.

 POC CVE-2025-14847 github_poc

GitHub utrawal9185-cmd/MikrotikAPI-BF

 POC CVE-2025-14847 github_poc

GitHub vulnerability-lookup/VulnMCP: A modular MCP server providing AI-driven vulnerability management skills, including severity classification and automate

 POC CVE-2025-14847 github_poc

GitHub yks0000/starred-repo-toc: Generates Markdown table for all Starred Repositories by a GitHub user.

 POC CVE-2025-14847 github_poc

GitHub zulloper/cve-poc: CVE POC repo 자동 수집기

 POC CVE-2025-14847 github_poc

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

Sploitus: Exploit for CVE-2025-14847

 EXPLOIT CVE-2025-14847 sploitus

OSV [ARTICLE]: http://www.openwall.com/lists/oss-security/2025/12/29/21

 OSV CVE-2025-14847 osv

OSV [ADVISORY]: https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/14xxx/CVE-2025-14847.json

 OSV CVE-2025-14847 osv

OSV [FIX]: https://jira.mongodb.org/browse/SERVER-115508

 OSV CVE-2025-14847 osv

OSV [ADVISORY]: https://nvd.nist.gov/vuln/detail/CVE-2025-14847

 OSV CVE-2025-14847 osv

OSV [ADVISORY]: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14847

 OSV CVE-2025-14847 osv

OSV [ADVISORY]: https://www.smartkeyss.com/post/mongobleed-pre-auth-memory-disclosure-via-op_compressed-in-mongodb-cve-2025-14847

 OSV CVE-2025-14847 osv

OSV [EVIDENCE]: https://www.vicarius.io/vsociety/posts/cve-2025-14847-detection-script-heap-memory-exposure-in-mongodb-server

 OSV CVE-2025-14847 osv

OSV [EVIDENCE]: https://www.vicarius.io/vsociety/posts/cve-2025-14847-mitigation-script-heap-memory-exposure-in-mongodb-server

 OSV CVE-2025-14847 osv

Quellen-Details

Bezeichnung Name Kategorie Tags Zielgruppe Sprache Feed-URL
BSI CSW

bsi_csw

 government_cert - de https://www.bsi.bund.de/SiteGlobals/Functions/RSSFeed/RSSNewsfeed/RSSNewsfeed_CSW.xml
Zurueck zur Eintrags-Liste