CVE-2025-14779
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
Ocena ryzyka
Ryzyko obejmuje utratę danych (sekretów) w całej organizacji, co może prowadzić do poważnych awarii systemów i przerw w świadczeniu usług. Atak wymaga uprawnień do usuwania w API, które domyślnie mają tylko administratorzy.
Rekomendacja
Zaleca się natychmiastowe ograniczenie uprawnień do usuwania typów sekretów tylko do niezbędnych administratorów oraz monitorowanie działań w API. Należy również rozważyć aktualizację systemu do wersji, która naprawia tę podatność.
Oryginalny opis (angielski, źródło NVD)
The Secret Type Management REST API does not correctly isolate access controls when deleting a secret type. The on-delete cascade logic, when triggered, fails to enforce organizational boundaries, leading to the removal of secrets associated with that type across all organizations. Exploitation of this vulnerability can result in the unintended deletion of secrets across the entire deployment, potentially causing configuration failures, service interruptions, and a denial-of-service condition. This vulnerability requires delete permissions for the Secret Type Management REST API, which are by default only granted to administrators.