CVE-2025-66223
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
OpenObserve przed wersją 0.16.0 nie wygasza tokenów zaproszeń do organizacji, które pozostają ważne nawet po usunięciu zaproszonego użytkownika i pozwalają na wiele zaproszeń na ten sam e-mail z różnymi rolami. Prowadzi to do złamania kontroli dostępu, gdzie usunięty lub zdegradowany użytkownik może odzyskać dostęp lub eskalować uprawnienia. Problem naprawiono w wersji 0.16.0.
Ocena ryzyka
Usunięty lub zdegradowany użytkownik może ponownie uzyskać dostęp do organizacji lub podnieść swoje uprawnienia, naruszając kontrolę dostępu i bezpieczeństwo danych.
Rekomendacja
Zaktualizuj OpenObserve do wersji 0.16.0 lub nowszej oraz unieważnij istniejące tokeny zaproszeń.
Inne podatności w OpenObserve
Zobacz wszystkie- CVE-2026-63645Wysokie
OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.
- CVE-2026-39361Wysokie
OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.
Oryginalny opis (angielski, źródło NVD)
OpenObserve is a cloud-native observability platform. Prior to version 0.16.0, organization invitation tokens do not expire once issued, remain valid even after the invited user is removed from the organization, and allow multiple invitations to the same email with different roles where all issued links remain valid simultaneously. This results in broken access control where a removed or demoted user can regain access or escalate privileges. This issue has been patched in version 0.16.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS