CVE-2026-108863
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Katanemo Plano do wersji 0.4.37 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sieciowym na dostęp do interfejsu administracyjnego Envoy, który jest związany ze wszystkimi interfejsami hosta na porcie 9901. Atakujący mogą zażądać punktu końcowego /config_dump, aby odczytać skonfigurowane klucze API dostawcy LLM w postaci zwykłego tekstu z konfiguracji filtra WASM.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do kluczy API dostawcy LLM może prowadzić do wycieku wrażliwych danych uwierzytelniających i nieautoryzowanego użycia usług płatnych. Organizacja może ponieść straty finansowe i naruszyć bezpieczeństwo danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Plano do wersji nowszej niż 0.4.37 oraz ograniczenie dostępu do portu 9901 tylko do zaufanych sieci. Należy również zabezpieczyć interfejs administracyjny Envoy za pomocą uwierzytelniania i szyfrowania.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
Katanemo Plano through 0.4.37 contains a missing authentication vulnerability that allows unauthenticated network attackers to access the Envoy admin interface, which is bound to all host interfaces on port 9901. Attackers can request the /config_dump endpoint to read configured LLM provider API keys in plaintext from the WASM filter configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS