SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-12515

ŚrednieCVSS 4.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

W Katello, będącym częścią Red Hat Satellite, wykryto lukę w funkcjonalności przesyłania treści. Niewystarczające sprawdzenie autoryzacji w kontrolerze ContentUploadsController umożliwiało użytkownikom z uprawnieniem edit_products odpytywanie o informacje o treściach w repozytoriach, do których zarządzania nie byli upoważnieni. Uwierzytelniony atakujący mógł wykorzystać ten problem do sprawdzenia, czy określone treści istnieją w niedostępnych dla niego repozytoriach.

Ocena ryzyka

Ryzyko polega na wycieku informacji o istnieniu konkretnych treści w chronionych repozytoriach, co może naruszyć poufność danych i pomóc atakującemu w dalszych działaniach. Luka nie pozwala na nieautoryzowaną modyfikację, import ani publikację treści.

Rekomendacja

Zaleca się natychmiastowe zastosowanie poprawek dostarczonych przez Red Hat dla Katello i Red Hat Satellite. Należy również przejrzeć i ograniczyć uprawnienia edit_products tylko do niezbędnych użytkowników.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

A flaw was found in Katello's of Red Hat Satellite. A content upload functionality where insufficient authorization checks in the ContentUploadsController allowed users with the edit_products permission to query content information for repositories outside the products they were authorized to manage. An authenticated attacker could exploit this issue to determine whether specific content exists within repositories that should otherwise be inaccessible. This issue does not allow unauthorized modification, import, or publication of content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS