CVE-2026-116747

WysokieCVSS 8.1

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.62%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

Kener w wersjach od 3.0.0 do 4.1.10 zawiera podatność polegającą na obejściu uwierzytelniania. Gdy zmienna KENER_SECRET_KEY jest pusta lub nieustawiona, atakujący może sfałszować tokeny sesji przy użyciu zapasowego klucza DUMMY_SECRET, a znając adres e-mail administratora — podpisać cookie kener-user i uzyskać pełny dostęp administracyjny do /manage/api lub sfałszować tokeny resetowania hasła.

Ocena ryzyka

Atakujący bez uwierzytelnienia może przejąć pełną kontrolę administracyjną nad aplikacją Kener, co grozi modyfikacją danych, konfiguracji i dalszą eskalacją. Ryzyko jest szczególnie wysokie w instalacjach, w których nie ustawiono KENER_SECRET_KEY.

Rekomendacja

Zaktualizuj Kener do wersji 4.1.10 lub nowszej oraz upewnij się, że zmienna KENER_SECRET_KEY jest ustawiona na silną, unikalną wartość. Sprawdź logi pod kątem podejrzanych żądań do /manage/api.

Inne podatności w Kener

CVE-2026-105030Średnie
Kener w wersji od 4.0.0 do 4.1.6 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym pobrać dane ukrytych lub nieaktywnych monitorów poprzez odpytywanie handlerów API dashboardu pozbawionych filtrów widoczności. Atakujący może podać znany lub odgadnięty tag monitora do endpointów takich jak monitor-bar i monitor-latency-chart, aby uzyskać nazwy, opisy, status, historię dostępności i opóźnienia.

Oryginalny opis (angielski, źródło NVD)

Kener 3.0.0 before 4.1.10 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge session tokens by using the hardcoded DUMMY_SECRET fallback key. When KENER_SECRET_KEY is empty or unset, attackers knowing an administrator email can sign a kener-user cookie to access /manage/api with full administrative privileges or forge password-reset tokens.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS