CVE-2026-105039

KrytyczneCVSS 9.6

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

Obrazy Docker EnergizeLab station-middleware (NestJS) w wersjach od 1.6.5 do 1.8.2 nie sprawdzają ról użytkowników w API administracyjnych. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może pobrać klucze dostawców AI oraz zmienić konfigurację i zawartość magazynu obiektów.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może uzyskać dostęp do wrażliwych kluczy API i modyfikować konfigurację, co może prowadzić do nieautoryzowanego dostępu i naruszenia danych.

Rekomendacja

Zaktualizuj station-middleware do wersji nowszej niż 1.8.2. W międzyczasie ogranicz dostęp do API administracyjnych tylko dla uprawnionych ról.

Inne podatności w EnergizeLab station-middleware

CVE-2026-105037Krytyczne
Obrazy Docker station-middleware (NestJS) firmy EnergizeLab w wersjach 1.6.5 do 1.8.2 pozwalają dowolnemu zarejestrowanemu kontu o niskich uprawnieniach na odczyt dowolnych plików z serwera poprzez podanie ścieżki kontrolowanej przez atakującego. Ujawnia to pliki middleware oraz sekrety serwera.

Oryginalny opis (angielski, źródło NVD)

EnergizeLab station-middleware (NestJS) Docker images 1.6.5 through 1.8.2 do not check user roles on administrative APIs. Any authenticated low-privilege user can retrieve AI provider keys and change configuration and object-store contents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS