CVE-2026-111681
WysokieCVSS 8.8Streszczenie
EFAK do wersji 5.1.0 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach zarządzać kontami, ponieważ endpointy /api/users nie mają kontroli roli administratora. Atakujący może wysyłać żądania POST, PUT lub DELETE do UserController, aby przyznać sobie ROLE_ADMIN, tworzyć administratorów lub usuwać użytkowników, przejmując kontrolę nad zarządzanymi klastrami Kafka.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może eskalować do administratora i przejąć kontrolę nad klastrami Kafka. Prowadzi to do pełnego naruszenia systemu i potencjalnych dalszych ataków.
Rekomendacja
Zaktualizuj EFAK do wersji zawierającej poprawkę lub dodaj kontrolę roli administratora do endpointów /api/users. Sprawdź, czy nie doszło do nieautoryzowanego tworzenia kont administratorów.
Inne podatności w EFAK
Oryginalny opis (angielski, źródło NVD)
EFAK through 5.1.0 contains a missing authorization vulnerability that allows authenticated low-privilege users to manage accounts because the /api/users endpoints lack administrator role checks. Attackers can send POST, PUT, or DELETE requests to UserController to grant themselves ROLE_ADMIN, create administrators, or delete users, gaining control of managed Kafka clusters.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS