CVE-2025-58902

WysokieCVSS 8.1

Opublikowano: 02/07/2026(UTC)Zaktualizowano: 02/07/2026(UTC)Przetłumaczono: 03/07/2026(UTC)NVD NIST

Streszczenie

W Lighthouse w wersjach do 1.2.12 występuje podatność na nieuwierzytelnione lokalne dołączanie plików (LFI). Umożliwia ona atakującemu bez uwierzytelnienia odczyt dowolnych plików z serwera.

Ocena ryzyka

Ryzyko polega na możliwości wycieku poufnych danych, takich jak pliki konfiguracyjne, hasła czy kod źródłowy aplikacji, bez konieczności posiadania konta w systemie.

Rekomendacja

Należy natychmiast zaktualizować Lighthouse do wersji nowszej niż 1.2.12. Jeśli aktualizacja nie jest możliwa, należy wdrożyć tymczasowe reguły WAF blokujące żądania zawierające ścieżki plików.

Inne podatności w Lighthouse

CVE-2026-66788Niskie
Podatność w Lighthouse pozwala zdalnemu atakującemu, po skompromitowaniu klastra spoke, na wstrzyknięcie nieautoryzowanych zasobów EndpointSlices i ServiceImports do dowolnej przestrzeni nazw w klastrach peer, w tym do krytycznych systemowych przestrzeni nazw. Dzieje się tak, ponieważ docelowa przestrzeń nazw jest wyprowadzana z kontrolowanej przez atakującego etykiety lub adnotacji na obiekcie brokera.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated Local File Inclusion in Lighthouse <= 1.2.12 versions.