CVE-2022-51020

ŚrednieCVSS 5.9

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Flower przed wersją 2.2.0 zawiera podatność cross-site request forgery, ponieważ mechanizm Tornado xsrf_cookies jest wyłączony, a ciasteczko sesji OAuth nie ma atrybutu SameSite. Atakujący mogą zwabić uwierzytelnionych użytkowników na złośliwe strony wysyłające żądania POST do /api/worker/shutdown, /api/worker/pool/restart lub /api/task/revoke, aby wyłączyć workery Celery, zmienić rozmiar puli i unieważnić zadania.

Ocena ryzyka

Atakujący może zdalnie zakłócić działanie infrastruktury Celery, wyłączając workery, zmieniając rozmiary pul i unieważniając zadania bez wiedzy uwierzytelnionego użytkownika.

Rekomendacja

Zaktualizuj Flower do wersji 2.2.0 lub nowszej.

Inne podatności w Flower

CVE-2022-30034Wysokie
Podatność w narzędziu Flower, interfejsie webowym dla frameworka Celery, umożliwia ominięcie uwierzytelniania OAuth. Atakujący może uzyskać dostęp do API Flower i wykonywać dowolne wywołania RPC Celery lub zatrzymać węzły zadań, powodując odmowę usługi.

Oryginalny opis (angielski, źródło NVD)

Flower before 2.2.0 contains a cross-site request forgery vulnerability because Tornado xsrf_cookies is disabled and the OAuth session cookie lacks SameSite. Attackers can lure authenticated users to malicious pages that POST to /api/worker/shutdown, /api/worker/pool/restart, or /api/task/revoke to shut down Celery workers, resize pools, and revoke tasks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS