CVE-2026-115333
ŚrednieCVSS 5.9Streszczenie
Lotus do wersji 0.10.2 zawiera niewłaściwą autoryzację w middleware ingestii zdarzeń w Go, które waliduje klucze API tylko po prefiksie, bez sprawdzania sekretu względem zapisanego hashed_key. Atakujący znający lub posiadający prefiks klucza API może wysyłać zdarzenia użycia do POST /api/track/ jako dana organizacja, zmieniając jej mierzone użycie i rozliczenia.
Ocena ryzyka
Atakujący może manipulować licznikami użycia i rozliczeniami organizacji, powodując nieprawidłowe opłaty lub zafałszowanie danych rozliczeniowych.
Rekomendacja
Zaktualizuj Lotus powyżej 0.10.2 i zapewnij pełną weryfikację sekretu klucza API względem zapisanego skrótu zamiast porównywania samego prefiksu.
Inne podatności w Lotus
Zobacz wszystkie- CVE-2026-115334Średnie
Lotus do wersji 0.10.2 zawiera obejście autoryzacji w ChangeUserOrganizationView.post, które pozwala uwierzytelnionym użytkownikom dołączyć do dowolnej organizacji poprzez podanie jej UUID. Samodzielnie zarejestrowany atakujący znający UUID innej organizacji może wysłać żądanie POST do /app/switch_organization/ i uzyskać dostęp do danych oraz konfiguracji rozliczeń tego tenanta.
- CVE-2026-115332Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzyknąć SQL poprzez rejestrowanie spreparowanych subscription_filter_keys omijających walidację opartą wyłącznie na słowach kluczowych. Atakujący mogą tworzyć subskrypcje ze złośliwym kluczem, renderowanym jako niecytowany identyfikator group-by, aby wstrzyknąć SQL do zapytań agregacji użycia w współdzielonej bazie danych wielu dzierżawców.
- CVE-2026-115331Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzykiwać SQL poprzez dostarczanie spreparowanych wartości właściwości metryk rozliczeniowych lub filtrów kategorycznych. Atakujący mogą osadzić SQL w wartościach renderowanych bez escapowania w zapytaniach metryk generowanych przez Jinja, uzyskując dostęp do bazy danych współdzielonej przez wszystkich najemców.
- CVE-2026-115330Wysokie
Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wykonywać dowolny SQL poprzez dołączanie dodatkowych instrukcji do zapytań metryk niestandardowych. Atakujący mogą przesyłać SQL oddzielony średnikami przez POST /app/metrics/, omijając walidację tylko pierwszej instrukcji, aby odczytywać lub modyfikować dane wszystkich najemców.
- CVE-2026-115329Średnie
Lotus do wersji 0.10.2 zawiera podatność typu insecure direct object reference w SubscriptionViewSet.get_object(), która używa querysetu bez ograniczenia do organizacji i bez sprawdzania uprawnień. Uwierzytelnieni użytkownicy lub klucze API z dowolnej organizacji mogą podać subscription_id innej organizacji, aby odczytać, anulować, zaktualizować, zmienić plan lub modyfikować dodatki, zmieniając rozliczenia innego tenanta.
Oryginalny opis (angielski, źródło NVD)
Lotus through 0.10.2 contains an improper authentication vulnerability in the Go event ingestion middleware that validates API keys by prefix only, without checking the secret against the stored hashed_key. Attackers who know or obtain an API key prefix can submit usage events to POST /api/track/ as that organization, altering its metered usage and billing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS