CVE-2026-108865
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
AmoyLab Unla do wersji 0.10.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na uzyskanie ważnych tokenów dostępowych, ponieważ serwer OAuth2 nigdy nie uwierzytelnia właściciela zasobu. Atakujący mogą zarejestrować klienta, zażądać kodu z /authorize i wymienić go w /token, aby uzyskać dostęp do prefiksów MCP chronionych OAuth2, proxyowanych API i wstrzykniętych poświadczeń.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do chronionych zasobów i wrażliwych danych może prowadzić do naruszenia poufności i integralności systemu. Atakujący może również uzyskać dostęp do poświadczeń i wykorzystać je do dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Unla do wersji nowszej niż 0.10.0 oraz wdrożenie prawidłowego uwierzytelniania właściciela zasobu w serwerze OAuth2. Należy również przejrzeć konfigurację OAuth2 i ograniczyć dostęp do wrażliwych zasobów.
Powiązane podatności
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79867Krytyczne
Brak opisu podatności w bazie NVD. Nie można określić charakteru ani zakresu problemu na podstawie dostępnych danych.
Oryginalny opis (angielski, źródło NVD)
AmoyLab Unla through 0.10.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to obtain valid access tokens because the OAuth2 server never authenticates a resource owner. Attackers can register a client, request a code from /authorize, and exchange it at /token to access OAuth2-protected MCP prefixes, proxied upstream APIs and injected credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS