CVE-2026-108837
NieznaneStreszczenie
W Apache Kylin od wersji 4.0.0 do 5.0.4 atakujący z uprawnieniami administratora projektu może użyć API cache do wyczerpania zasobów kolumn obliczanych. Luka polega na alokacji zasobów bez limitów lub ograniczeń.
Ocena ryzyka
Atakujący z uprawnieniami administratora projektu może wyczerpać zasoby systemu, powodując odmowę usługi lub degradację wydajności.
Rekomendacja
Zaktualizuj Apache Kylin do wersji 5.0.5, która naprawia tę podatność.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-108833Nieznane
W Apache Kylin od wersji 4.0.0 do 5.0.4 domyślny profil startowy pomija ustawienia bezpieczeństwa. Wdrożenia z włączonym profilem ustawień bezpieczeństwa nie są dotknięte.
- CVE-2026-108823Nieznane
Podatność w Apache Kylin polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi podczas manipulacji zadaniami. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi zadań nie są wystawione do sieci publicznej.
- CVE-2026-108780Nieznane
Potencjalna podatność w walidacji konfiguracji źródła JDBC w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i ma niewielki wpływ, o ile usługi backendu Kylin nie są wystawione do sieci publicznej.
- CVE-2026-108776Nieznane
Podatność typu SQL Injection w Apache Kylin wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od 4.0.0 do 5.0.4, a jego wpływ jest umiarkowany w domyślnym trybie tylko do zapytań.
- CVE-2026-108771Nieznane
Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-108766Nieznane
Podatność w Apache Kylin polegająca na braku autoryzacji przy aktualizacji konfiguracji źródła JDBC. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-108764Nieznane
Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługę zadań Kylin wystawioną bezpośrednio do sieci publicznej.
- CVE-2026-108762Nieznane
Podatność w Apache Kylin polegająca na obejściu ograniczeń ścieżek podczas usuwania kopii zapasowej metadanych. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-69080Nieznane
W Apache Kylin występuje podatność polegająca na ujawnieniu czarnej listy SQL nieuprawnionemu podmiotowi. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-69077Nieznane
W Apache Kylin występuje podatność umożliwiająca nieuprawnioną manipulację zadaniami między projektami. Problem dotyczy wersji od 4 do 5.0.4.
Oryginalny opis (angielski, źródło NVD)
Allocation of resources without limits or throttling vulnerability in Apache Kylin. Given an attacker has got project admin permission, an cache API maybe used to cause computed-column resource exhaustion. This issue affects Apache Kylin: from 4.0.0 through 5.0.4. Users are recommended to upgrade to version 5.0.5, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS