CVE-2026-18676
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Domyślna konfiguracja kuma-cp w Kong Mesh ujawnia token bootstrap administratora i klucze podpisujące każdej stronie internetowej, którą operator odwiedza, gdy płaszczyzna sterowania jest osiągalna z przeglądarki. Z powodu błędnej konfiguracji CORS, złośliwa strona może wykonać fetch() i uzyskać admin JWT oraz materiały podpisujące.
Ocena ryzyka
Atakujący może przejąć token administratora i klucze podpisujące, co może prowadzić do pełnej kompromitacji płaszczyzny sterowania.
Rekomendacja
Zaleca się zmianę domyślnej konfiguracji CORS i ograniczenie dostępu do płaszczyzny sterowania z przeglądarki.
Oryginalny opis (angielski, źródło NVD)
The default kuma-cp configuration in Kong Mesh reveals the admin bootstrap token and signing keys to any webpage the operator visits while the control plane is reachable from their browser. Due to a CORS misconfiguration a cross-origin fetch() from a malicious page returns the admin JWT and signing material.