CVE-2026-104252

KrytyczneCVSS 9.8

Opublikowano: 13/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Streszczenie

Vitess to system klastrowania baz danych do horyzontalnego skalowania MySQL. Przed wersjami 23.0.5 i 24.0.2, twopczHandler w go/vt/vttablet/tabletserver/twopcz.go zapisuje wartości formularza Action i dtid z punktu debugowania HTTP vttablet i vtcombo /twopcz do odpowiedzi text/html bez escapowania HTML. Przy domyślnej polityce ACL allow-all, zdalny nieuwierzytelniony atakujący może wysłać operatorowi spreparowane żądanie, które wykonuje skrypt w przeglądarce operatora po otwarciu żądania. Skrypt działa z originem debugowania vttablet i może odczytywać endpointy diagnostyczne tego samego originu, które ujawniają dane zapytań, transakcji, środowiska, zmiennych lub profilowania dostępne w tym wdrożeniu. Problem został naprawiony w wersjach 23.0.5 i 24.0.2.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce operatora, co może prowadzić do ujawnienia wrażliwych danych diagnostycznych, w tym zapytań, transakcji i danych środowiskowych, oraz potencjalnie do dalszych ataków.

Rekomendacja

Zaleca się natychmiastową aktualizację Vitess do wersji 23.0.5 lub 24.0.2 oraz ograniczenie dostępu do endpointów debugowania /twopcz.

Inne podatności w Vitess

CVE-2026-65959Średnie
Vitess w wersji 24.0.2 i wcześniejszych ma podatność w punkcie końcowym /debug/vrlog, który nie sprawdza uprawnień ACL (brak acl.CheckAccessHTTP). Zdalny atakujący, mający dostęp do portu debugowania vttablet, może ominąć politykę bezpieczeństwa i odczytać dane VrLogStats, w tym dosłowne zapytania SQL i wartości aplikacji z przepływów MoveTables, Reshard, Materialize i Online DDL.

Oryginalny opis (angielski, źródło NVD)

Vitess is a database clustering system for horizontal scaling of MySQL. Prior to 23.0.5 and 24.0.2, twopczHandler in go/vt/vttablet/tabletserver/twopcz.go writes the Action and dtid form values from the vttablet and vtcombo /twopcz HTTP debug endpoint into a text/html response without HTML escaping. Under the default allow-all ACL policy, a remote unauthenticated attacker can send an operator a crafted request that executes script in the operator's browser after the request is opened. The script runs with the vttablet debug origin and can read same-origin diagnostic endpoints that expose query, transaction, environment, variable, or profiling data available in that deployment. This issue is fixed in versions 23.0.5 and 24.0.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS