CVE-2026-108709
Niskie ryzyko· EPSS 15%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W Apache Kylin występuje podatność polegająca na obejściu uwierzytelniania w sieci wewnętrznej. Problem dotyczy wersji od 4.0.4 do 5.0.4.
Ocena ryzyka
Największe ryzyko dotyczy usług Kylin bezpośrednio wystawionych do sieci publicznej; wdrożenia wewnętrzne są w większości niezagrożone.
Rekomendacja
Zaleca się aktualizację Apache Kylin do wersji 5.0.5, która naprawia tę podatność.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-63618Wysokie
Apache Kylin ujawnia wrażliwe informacje (konfigurację na poziomie systemu) nieuprawnionemu podmiotowi. Podatność występuje w wersjach od 4 do 5.0.4.
- CVE-2026-68573Krytyczne
W Apache Kylin występuje podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony użytkownik może uzyskać dostęp do akcji czyszczenia systemu. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-64959Krytyczne
W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-64610Krytyczne
W Apache Kylin występuje podatność deserializacji niezaufanych danych. Niebezpieczna deserializacja Java może wystąpić w wyniku awarii zewnętrznej usługi cache. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-63619Krytyczne
W Apache Kylin występuje podatność braku autoryzacji. Backendowe API zrzutu metadanych nie wymaga wystarczającej autoryzacji ani ograniczenia ścieżek. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-62392Krytyczne
W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.
- CVE-2026-62390Krytyczne
W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.
- CVE-2025-61734Wysokie
Podatność dotycząca plików lub katalogów dostępnych dla zewnętrznych podmiotów w Apache Kylin. Problem występuje, gdy dostęp administratora systemu i projektu Kylin nie jest dobrze chroniony. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.
- CVE-2020-1956WysokieAktywnie exploitowane
Apache Kylin w wersjach 2.3.0, aż do 2.6.5 i 3.0.1 posiada interfejsy REST API, które łączą polecenia systemowe z ciągiem wejściowym użytkownika. Użytkownik może wykonać dowolne polecenie systemowe bez żadnej ochrony lub walidacji.
- CVE-2026-108837Niskie ryzyko· EPSS 9%
W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.
Oryginalny opis (angielski, źródło NVD)
Authentication bypass within in-house network in Apache Kylin. Impact most to the kylin services that are directly exposed to public network, which is not common. In-house kylin deployments are mostly not impacted. This issue affects Apache Kylin: from 4.0.4 through 5.0.4. Users are recommended to upgrade to version 5.0.5, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS