CVE-2023-52251

WysokieCVSS 8.8

Opublikowano: 25/01/2024(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

85.03%

Percentyl 100 - wyżej niż 100% wszystkich znanych CVE

Streszczenie

W produkcie provectus kafka-ui w wersjach od 0.4.0 do 0.7.2 odkryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr 'q' w ścieżce /api/clusters/local/topics/{topic}/messages. Nie ma dostępnej poprawki, a projekt nie był aktualizowany od 2024-04-08.

Ocena ryzyka

Atakujący może zdalnie wykonać dowolny kod na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub przerwania działania usługi. Brak poprawki zwiększa ryzyko eksploatacji.

Rekomendacja

Zaleca się natychmiastowe ograniczenie dostępu do aplikacji oraz monitorowanie ruchu sieciowego. Należy rozważyć wyłączenie lub zastąpienie kafka-ui innym narzędziem, dopóki nie pojawi się oficjalna poprawka.

Inne podatności w provectus kafka-ui

CVE-2026-78166Średnie
W provectus kafka-ui do wersji 0.7.2 odkryto lukę w funkcji executeSmartFilterTest pliku kafka-ui-api/src/main/java/com/provectus/kafka/ui/controller/MessagesController.java komponentu Groovy Code Handler. Manipulacja prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Oryginalny opis (angielski, źródło NVD)

An issue discovered in provectus kafka-ui 0.4.0 through 0.7.2 allows remote attackers to execute arbitrary code via the q parameter of /api/clusters/local/topics/{topic}/messages. No fixed release is available; the project has had no commit since 2024-04-08.