CVE-2026-111717
ŚrednieCVSS 4.3Streszczenie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w funkcji list_skill_versions, która pozwala uwierzytelnionym pracownikom odczytywać metadane wersji umiejętności innych działów poprzez obejście sprawdzenia can_access_skill. Atakujący posiadający domyślne uprawnienie skill:read mogą wysłać żądanie GET /api/skills/{slug}/versions dla umiejętności innego działu, aby uzyskać numery wersji, hashe, ścieżki przechowywania i dzienniki zmian.
Ocena ryzyka
Pracownicy mogą uzyskać dostęp do informacji o wersjach umiejętności należących do innych działów, co stanowi naruszenie izolacji danych i może ujawnić wrażliwe metadane. Może to prowadzić do wycieku informacji wewnętrznych i naruszenia polityki bezpieczeństwa.
Rekomendacja
Zaktualizuj Arkon do wersji nowszej niż 0.9.2, która naprawia tę podatność. Do czasu aktualizacji rozważ ograniczenie uprawnień skill:read lub monitorowanie nietypowych żądań do endpointu /api/skills/{slug}/versions.
Inne podatności w Arkon
Zobacz wszystkie- CVE-2026-111716Średnie
Arkon do wersji 0.9.2 zawiera podatność złamanej kontroli dostępu, która pozwala uwierzytelnionym pracownikom odczytywać i modyfikować źródła innych działów, ponieważ trasy by-id w app/routers/sources.py pomijają sprawdzenie can_access_document. Atakujący mogą wywołać trasy plan, progress, PATCH, retry i approve-extraction z identyfikatorami obcych źródeł, aby ujawnić pochodne tytuły i podsumowania wiki oraz zmienić stan przetwarzania.
- CVE-2026-111715Średnie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w GET /api/wiki/graph, która pozwala uwierzytelnionym pracownikom odczytywać metadane wiki innych działów poprzez podanie obcego sluga. Atakujący posiadający jedynie uprawnienie wiki:read:own_dept mogą wywołać get_neighborhood() bez sprawdzeń zakresu, aby uzyskać slugi stron, tytuły, typy i krawędzie linków do głębokości 3.
Oryginalny opis (angielski, źródło NVD)
Arkon through 0.9.2 contains a missing authorization vulnerability in list_skill_versions that allows authenticated employees to read other departments' skill version metadata by bypassing the can_access_skill check. Attackers holding the default skill:read permission can request GET /api/skills/{slug}/versions for another department's skill to obtain version numbers, hashes, storage paths and changelogs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS