CVE-2026-108745

NiskieCVSS 3.1

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

CloudBeaver do wersji 25.3.5 zawiera podatność polegającą na braku autoryzacji w WebSQLResultServlet, która pozwala każdemu posiadaczowi sesji webowej na odczyt plików eksportu LOB innych użytkowników ze wspólnego folderu. Atakujący mogą zgadywać nazwy tabel i kolumn oraz enumerować znaczniki czasowe z rozdzielczością sekund, aby pobrać wartości LOB ofiar, w tym dane z połączeń, do których nie mają dostępu.

Ocena ryzyka

Ryzyko obejmuje wyciek wrażliwych danych przechowywanych w plikach LOB, co może prowadzić do naruszenia poufności danych klientów lub firmowych. Brak autoryzacji umożliwia nieautoryzowany dostęp do danych innych użytkowników.

Rekomendacja

Zaleca się aktualizację CloudBeaver do wersji z poprawką oraz wdrożenie odpowiednich kontroli dostępu do WebSQLResultServlet. Należy również zweryfikować uprawnienia do folderów współdzielonych i ograniczyć dostęp do nich.

Inne podatności w CloudBeaver

CVE-2026-108742Średnie
CloudBeaver w wersjach do 25.3.5 zawiera podatność braku autoryzacji w mutacji GraphQL initConnection, która pozwala członkom projektu współdzielonego z uprawnieniami tylko do odczytu trwale zapisywać poświadczenia bez uprawnień do edycji źródła danych. Atakujący może ustawić flagi saveCredentials i sharedCredentials z wybranymi authProperties, aby inni użytkownicy łączyli się ze współdzielonym połączeniem pod tożsamością bazy danych atakującego.

Oryginalny opis (angielski, źródło NVD)

CloudBeaver through 25.3.5 contains a missing authorization vulnerability in WebSQLResultServlet that allows any web session holder to read other users' LOB export files from a shared folder. Attackers can guess table and column names and enumerate second-resolution timestamps to download victims' LOB values, including data from connections they cannot query.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS