CVE-2026-15036
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W systemie Harness do wersji 2.28.2 wykryto podatność w funkcji getAuthorizedSpaces pliku app/api/controller/gitspace/list_all.go w komponencie gitspaces Endpoint. Manipulacja tym punktem końcowym może prowadzić do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do przestrzeni gitspaces, co może skutkować wyciekiem poufnych danych lub nieuprawnionymi modyfikacjami. Brak odpowiedzi ze strony producenta zwiększa ryzyko wykorzystania podatności.
Rekomendacja
Należy natychmiast ograniczyć dostęp do punktu końcowego gitspaces, np. poprzez reguły firewall lub WAF, oraz monitorować logi pod kątem prób eksploatacji. Do czasu wydania łatki rozważ tymczasowe wyłączenie funkcji gitspaces, jeśli to możliwe.
Inne podatności w Harness
Zobacz wszystkie- CVE-2026-92750Średnie
Harness do wersji 3.3.0 pomija walidację kontroli dostępu w endpoincie odczytu dostawcy infrastruktury, pozwalając uwierzytelnionym użytkownikom na pobieranie konfiguracji dostawców z przestrzeni, do których nie należą. Atakujący mogą odpytywać endpoint GET /api/v1/infraproviders z dowolnymi identyfikatorami przestrzeni, aby ujawnić wrażliwe metadane dostawców, w tym endpointy Docker, ścieżki certyfikatów TLS i identyfikatory projektów w chmurze.
- CVE-2025-10761Niskie
W Harness 3.3.0 punkt końcowy logowania /api/v1/login nie ogranicza nadmiernej liczby prób uwierzytelnienia. Atak można przeprowadzić zdalnie, charakteryzuje się wysoką złożonością i trudną eksploatacją, a exploit został publicznie ujawniony.
- CVE-2025-10760Średnie
W Harness 3.3.0 wykryto podatność SSRF w funkcji LookupRepo pliku app/api/controller/gitspace/lookup_repo.go. Manipulacja argumentem url może prowadzić do fałszowania żądań po stronie serwera. Exploit został opublikowany, a dostawca nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Harness up to 2.28.2. This vulnerability affects the function getAuthorizedSpaces of the file app/api/controller/gitspace/list_all.go of the component gitspaces Endpoint. Executing a manipulation can lead to authorization bypass. The attack can be executed remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS