CVE-2026-118952

ŚrednieCVSS 6.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

W autoryzatorze ACL Kroxylicious wykryto błąd. Logika dopasowywania prefiksów może zastosować regułę do podmiotu innego typu lub nie sprawdzić szerszej reguły dopasowania, gdy prefiksy się nakładają. W zależności od konfiguracji ACL może to pozwolić uwierzytelnionemu klientowi Kafki na dostęp do zasobu (np. odczyt tematu), który powinien być zabroniony.

Ocena ryzyka

Może dojść do nieautoryzowanego dostępu do zasobów Kafki, co narusza politykę kontroli dostępu i może ujawnić dane.

Rekomendacja

Zaktualizuj Kroxylicious do wersji zawierającej poprawkę i przejrzyj konfigurację ACL pod kątem nakładających się prefiksów.

Inne podatności w Kroxylicious

CVE-2026-105941Wysokie
Dostawca Azure Key Vault KMS w Kroxylicious akceptuje niezaufaną nazwę vaultName z deserializowanych bajtów EDEK bez walidacji formatu, co umożliwia SSRF i eksfiltrację tokena bearer Azure proxy do hosta kontrolowanego przez atakującego. Odtworzenie tokena wobec prawdziwego Key Vault łamie cały model zaufania szyfrowania rekordów.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the Kroxylicious ACL authorizer. Its prefix-matching logic may apply a rule to a principal of a different type, or fail to check a broader matching rule when prefixes overlap. Depending on the ACL configuration, this may allow an authenticated Kafka client to access a resource (such as read a topic) that should be denied.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS