CVE-2025-60537
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Nieprawidłowa walidacja danych wejściowych w komponencie /kafka/ui/serdes/CustomSerdeLoader.java w kafka-ui w wersjach od v0.6.0 do v0.7.2 pozwala atakującym na wykonanie dowolnego kodu poprzez dostarczenie spreparowanych danych. Luka wynika z niewystarczającego sprawdzania danych wejściowych przed ich przetworzeniem.
Ocena ryzyka
Atakujący może wykonać dowolny kod w kontekście aplikacji kafka-ui, co może prowadzić do przejęcia systemu i dostępu do danych Kafki. Może to również umożliwić dalsze ataki na infrastrukturę.
Rekomendacja
Zaktualizuj kafka-ui do wersji zawierającej poprawkę (powyżej v0.7.2). Ogranicz dostęp do interfejsu kafka-ui oraz weryfikuj dane wejściowe w komponentach ładujących serde.
Inne podatności w kafka-ui
Zobacz wszystkie- CVE-2024-32030Wysokie
Kafka UI, open-source'owy interfejs webowy do zarządzania Apache Kafka, umożliwia łączenie się z brokerami Kafka oraz monitorowanie ich wydajności przez porty JMX. JMX oparty jest na protokole RMI, który jest podatny na ataki deserializacji. Atakujący może wykorzystać tę funkcję, łącząc backend Kafka UI z własnym złośliwym brokerem, co w najgorszym przypadku prowadzi do zdalnego wykonania kodu (RCE). Podatność występuje, gdy włączona jest właściwość dynamic.config.enabled lub gdy atakujący ma dostęp do klastra Kafka podłączonego do Kafka UI.
- CVE-2026-5562Wysokie
W provectus kafka-ui do wersji 0.7.2 funkcja validateAccess w pliku /api/smartfilters/testexecutions jest podatna na wstrzykiwanie kodu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Improper input validation in the component /kafka/ui/serdes/CustomSerdeLoader.java of kafka-ui v0.6.0 to v0.7.2 allows attackers to execute arbitrary code via supplying crafted data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS