CVE-2026-108771
NieznaneStreszczenie
Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
Ocena ryzyka
Ryzyko jest wysokie dla usług Kylin wystawionych do internetu, gdzie brak uwierzytelniania i deserializacja mogą umożliwić zdalne wykonanie kodu; wdrożenia wewnętrzne są w większości niezagrożone.
Rekomendacja
Zaktualizuj Apache Kylin do wersji 5.0.5 i ogranicz bezpośredni dostęp do usług Kylin z sieci publicznej.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-108837Nieznane
W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.
- CVE-2026-108833Nieznane
W Apache Kylin od wersji 4.0.0 do 5.0.4 domyślny profil startowy pomija ustawienia bezpieczeństwa. Wdrożenia z włączonym profilem ustawień bezpieczeństwa nie są dotknięte.
- CVE-2026-108823Nieznane
Podatność w Apache Kylin polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi podczas manipulacji zadaniami. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi zadań nie są wystawione do sieci publicznej.
- CVE-2026-108780Nieznane
Potencjalna podatność w walidacji konfiguracji źródła JDBC w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi backendu Kylin nie są wystawione do sieci publicznej.
- CVE-2026-108776Nieznane
Podatność typu SQL Injection w Apache Kylin wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od 4.0.0 do 5.0.4, a jego wpływ jest umiarkowany w domyślnym trybie tylko do zapytań.
- CVE-2026-108766Nieznane
Podatność w Apache Kylin polegająca na braku autoryzacji przy aktualizacji konfiguracji źródła JDBC. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-108764Nieznane
Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługę zadań Kylin wystawioną bezpośrednio do sieci publicznej.
- CVE-2026-108762Nieznane
Podatność w Apache Kylin polegająca na obejściu ograniczeń ścieżek podczas usuwania kopii zapasowej metadanych. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-69080Nieznane
W Apache Kylin występuje podatność polegająca na ujawnieniu czarnej listy SQL nieuprawnionemu podmiotowi. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-69077Nieznane
W Apache Kylin występuje podatność umożliwiająca nieuprawnioną manipulację zadaniami między projektami. Problem dotyczy wersji od 4 do 5.0.4.
Oryginalny opis (angielski, źródło NVD)
Missing authentication for in-house broadcast and polymorphic deserialization vulnerability in Apache Kylin. Impact most to the kylin services that are directly exposed to public network, which is not common. In-house kylin deployments are mostly not impacted. This issue affects Apache Kylin: from 4.0.0 through 5.0.4. Users are recommended to upgrade to version 5.0.5, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS