CVE-2026-108746
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Vearch w wersjach od 3.5.2 do 3.5.9 zawiera podatność nieprawidłowej autoryzacji w Role.HasPermissionForResources, która ignoruje zapisane poziomy uprawnień ReadOnly lub None dla zasobów wymienionych w roli. Uwierzytelnieni użytkownicy niebędący rootem mogą dodawać i usuwać dokumenty z dostępem tylko do odczytu lub wywołać PUT /roles, aby przyznać swojej roli uprawnienia WriteRead, eskalując w kierunku dostępu administratora klastra.
Ocena ryzyka
Organizacja naraża się na eskalację uprawnień przez uwierzytelnionych użytkowników, którzy mogą modyfikować lub usuwać dane oraz uzyskać uprawnienia administracyjne klastra. Może to prowadzić do naruszenia integralności danych i pełnej kompromitacji klastra.
Rekomendacja
Zaktualizuj Vearch do wersji nowszej niż 3.5.9, jeśli jest dostępna, oraz przejrzyj role i uprawnienia użytkowników pod kątem nieautoryzowanych zmian. Ogranicz dostęp do endpointu PUT /roles do zaufanych administratorów.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
Vearch 3.5.2 through 3.5.9 contains an incorrect authorization vulnerability in Role.HasPermissionForResources that ignores stored ReadOnly or None privilege levels for resources listed in a role. Authenticated non-root users can upsert and delete documents with read-only access, or call PUT /roles to grant their role WriteRead privileges, escalating toward cluster administrator access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS