CVE-2026-100418
ŚrednieCVSS 5.3Streszczenie
Flame do wersji 2.4.0 zawiera podatność ujawnienia informacji w nieuwierzytelnionym punkcie końcowym GET /api/config, który zwraca cały obiekt konfiguracji bez redakcji pól. Atakujący mogą pobrać zapisany klucz API pogody i wewnętrzne ustawienia operacyjne, wysyłając pojedyncze nieuwierzytelnione żądanie, aby zużyć limit dostawcy lub uzyskać dostęp do wrażliwych danych konfiguracyjnych.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych danych konfiguracyjnych, takich jak klucze API, co może prowadzić do nieautoryzowanego użycia zasobów lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację Flame do wersji z poprawką, która redaguje wrażliwe pola w odpowiedzi API /api/config.
Inne podatności w Flame
Zobacz wszystkie- CVE-2026-100502Średnie
Flame do wersji 2.4.0 zawiera podatność niewystarczającego wygasania sesji w punkcie końcowym logowania, która pozwala atakującym z byłym dostępem administratora na uzyskanie tokenów o dowolnej długości życia poprzez podanie niezweryfikowanych parametrów czasu trwania. Atakujący mogą tworzyć prawie wieczne tokeny administratora, które przetrwają zmiany hasła, zachowując pełną kontrolę nad pulpitem, ponieważ tokeny są weryfikowane tylko względem statycznego sekretu JWT, który nigdy nie jest rotowany.
- CVE-2026-100501Średnie
Flame do wersji 2.4.0 zawiera podatność nieprawidłowego ograniczenia nadmiernych prób uwierzytelnienia w punkcie końcowym POST /api/auth, która pozwala nieuwierzytelnionym atakującym na brute-force hasła administratora. Atakujący mogą wysyłać nieograniczoną liczbę prób bez ograniczania szybkości, liczników prób, blokad lub opóźnień, aby uzyskać pełny dostęp administratora i modyfikować konfigurację aplikacji.
Oryginalny opis (angielski, źródło NVD)
Flame through 2.4.0 contains an information exposure vulnerability in the unauthenticated GET /api/config endpoint that returns the entire configuration object without field redaction. Attackers can retrieve the stored weather API key and internal operational settings by sending a single unauthenticated request to consume provider quota or access sensitive configuration data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS