MongoDB Node.js 驅動逾時功能可令回覆錯配：升級後須重設逾時策略
情報摘要
MongoDB 公開 CVE-2026-119179：使用實驗性用戶端操作逾時功能的應用，可能在連線池重用仍有未完成資料的連線，令資料庫回覆配對至錯誤請求，洩漏其他用戶紀錄或回傳錯誤結果。6.22.0 及 7.8.0 已停用相關功能；升級後不能再依賴 timeoutMS／timeoutMode 終止操作。
MongoDB 的 CNA 記錄指出，能向應用發出一般請求的未認證人士，在應用啟用相關逾時功能時，可能令資料庫回覆與錯誤請求配對。影響包括非預期披露其他用戶紀錄、回傳錯誤操作結果，以及合法請求失敗；這不代表 MongoDB 伺服器本身一概存在同一漏洞。
官方 6.22.0 及 7.8.0 發行說明均明確提及此 CVE，以及 timeoutMS／timeoutMode 已被棄用並變成 no-op。單純保留原有選項而不檢查設定，可能令應用失去原先預期的操作逾時限制。
CNA 記錄於 2026 年 11 月 3 日公開。7.8.0 發行說明標示 10 月 30 日；6.22.0 說明標示 11 月 2 日，但 GitHub 發布時間是 11 月 3 日 00:05 UTC。修補版本早於或接近 CVE 公開時間，不應描述為兩個版本均在 CVE 公開後才推出。
受影響產品
MongoDB Node.js Driver：6.11.0 至 6.22.0 之前，以及 7.0.0 至 7.8.0 之前；漏洞涉及啟用可選用戶端操作逾時的應用。
適用讀者
香港使用相關產品的企業、開發及系統管理團隊
建議行動
將受影響的 6.x 驅動更新至 6.22.0，或將 7.x 更新至 7.8.0，並依官方發行說明停止使用 timeoutMS／timeoutMode。新版仍接受這兩個選項但不再執行其逾時功能；應按應用需要改用 serverSelectionTimeoutMS、waitQueueTimeoutMS、socketTimeoutMS，以及伺服器端執行的 maxTimeMS，並測試各階段的逾時及錯誤處理。
風險評級依據
MongoDB 作為 CNA 提供 CVSS 4.0：8.3（High）及 CVSS 3.1：7.0（High）。兩套評分版本不同，不應混成同一分數。
解讀限制
本次核對未確認野外利用或香港受害個案；沒有相關記載不代表排除利用。
不同階段的逾時選項控制不同等待或執行階段，不能把它們當成 timeoutMS 的完全等價替代。
NODE-7958 是將 timeoutMS 改為 no-op 的工程項目；完整安全影響及版本範圍以 MongoDB CNA 記錄與正式發行說明交叉核對。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。