CVE-2026-30836
CriticalSummary
Step CA to internetowa jednostka certyfikująca, która umożliwia bezpieczne i zautomatyzowane zarządzanie certyfikatami dla DevOps. W wersjach 0.30.0-rc6 i starszych nie zabezpieczono się przed nieautoryzowanym wydawaniem certyfikatów za pomocą SCEP UpdateReq. Problem ten został naprawiony w wersji 0.30.0.
Risk Assessment
Brak zabezpieczeń przed nieautoryzowanym wydawaniem certyfikatów może prowadzić do poważnych naruszeń bezpieczeństwa, umożliwiając atakującym uzyskanie fałszywych certyfikatów. To stwarza ryzyko dla integralności i poufności komunikacji w organizacji.
Recommendation
Zaleca się aktualizację do wersji 0.30.0 lub nowszej, aby zabezpieczyć się przed tym problemem. Należy również przeprowadzić audyt istniejących certyfikatów w celu wykrycia potencjalnych nadużyć.
Related vulnerabilities
- CVE-2026-93945Critical
Deserialization of Untrusted Data vulnerability in the Balance theme by Axiomthemes allows Object Injection. This issue affects Balance from n/a through 1.12.0.
- CVE-2026-93944Critical
Deserialization of Untrusted Data vulnerability in the Camelia theme by ThemeREX Group allows Object Injection. This issue affects Camelia from n/a through 1.2.15.
- CVE-2026-93943Critical
Deserialization of Untrusted Data vulnerability in the Convex theme by ThemeREX Group allows Object Injection. This issue affects Convex from n/a through 1.16.0.
- CVE-2026-93942Critical
Deserialization of Untrusted Data vulnerability in the Dwell theme by ThemeREX Group allows Object Injection. This issue affects Dwell from n/a through 1.16.0.
- CVE-2026-93941Critical
Deserialization of Untrusted Data vulnerability in the Edema theme by ThemeREX Group allows Object Injection. This issue affects Edema from n/a through 1.2.2.2.
- CVE-2026-93940Critical
Deserialization of Untrusted Data vulnerability in the Greeny theme by ThemeREX Group allows Object Injection. This issue affects Greeny from n/a through 2.10.0.
- CVE-2026-93938Critical
Deserialization of Untrusted Data vulnerability in the Hogwords theme by ThemeREX Group allows Object Injection. This issue affects Hogwords from n/a through 1.2.7.
- CVE-2026-93937Critical
Deserialization of Untrusted Data vulnerability in the Hygia theme by ThemeREX Group allows Object Injection. This issue affects Hygia from n/a through 1.21.0.
- CVE-2026-93936Critical
Deserialization of Untrusted Data vulnerability in the IPharm theme by ThemeREX Group allows Object Injection. This issue affects IPharm from n/a through 1.2.4.
- CVE-2026-93935Critical
Deserialization of Untrusted Data vulnerability in the Let's Play theme by ThemeREX Group allows Object Injection. This issue affects Let's Play from n/a through 1.1.15.
Original NVD description (English source)
Step CA is an online certificate authority for secure, automated certificate management for DevOps. Versions 0.30.0-rc6 and below do not safeguard against unauthenticated certificate issuance through the SCEP UpdateReq. This issue has been fixed in version 0.30.0.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS