CVE-2026-111715
ŚrednieCVSS 4.3Streszczenie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w GET /api/wiki/graph, która pozwala uwierzytelnionym pracownikom odczytywać metadane wiki innych działów poprzez podanie obcego sluga. Atakujący posiadający jedynie uprawnienie wiki:read:own_dept mogą wywołać get_neighborhood() bez sprawdzeń zakresu, aby uzyskać slugi stron, tytuły, typy i krawędzie linków do głębokości 3.
Ocena ryzyka
Pracownicy mogą uzyskać dostęp do metadanych wiki innych działów, co narusza izolację danych i może ujawnić poufne informacje. Może to prowadzić do wycieku informacji wewnętrznych.
Rekomendacja
Zaktualizuj Arkon do wersji nowszej niż 0.9.2, która naprawia tę podatność. Do czasu aktualizacji rozważ ograniczenie uprawnień wiki:read:own_dept lub monitorowanie nietypowych żądań do /api/wiki/graph.
Inne podatności w Arkon
Zobacz wszystkie- CVE-2026-111717Średnie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w funkcji list_skill_versions, która pozwala uwierzytelnionym pracownikom odczytywać metadane wersji umiejętności innych działów poprzez obejście sprawdzenia can_access_skill. Atakujący posiadający domyślne uprawnienie skill:read mogą wysłać żądanie GET /api/skills/{slug}/versions dla umiejętności innego działu, aby uzyskać numery wersji, hashe, ścieżki przechowywania i dzienniki zmian.
- CVE-2026-111716Średnie
Arkon do wersji 0.9.2 zawiera podatność złamanej kontroli dostępu, która pozwala uwierzytelnionym pracownikom odczytywać i modyfikować źródła innych działów, ponieważ trasy by-id w app/routers/sources.py pomijają sprawdzenie can_access_document. Atakujący mogą wywołać trasy plan, progress, PATCH, retry i approve-extraction z identyfikatorami obcych źródeł, aby ujawnić pochodne tytuły i podsumowania wiki oraz zmienić stan przetwarzania.
Oryginalny opis (angielski, źródło NVD)
Arkon through 0.9.2 contains a missing authorization vulnerability in GET /api/wiki/graph that lets authenticated employees read other departments' wiki metadata by supplying a foreign slug. Attackers with only wiki:read:own_dept permission can query get_neighborhood() without scope checks to obtain page slugs, titles, types and link edges up to depth 3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS