CVE-2026-18947
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W Feast znaleziono podatność polegającą na obejściu autoryzacji w endpointach /materialize i /materialize-incremental. Wysyłając specjalnie spreparowane żądanie bez pola feature_views, atakujący może ominąć zamierzone kontrole uprawnień, co pozwala nieuwierzytelnionemu zdalnemu atakującemu lub dowolnemu uwierzytelnionemu użytkownikowi na wywołanie pełnej rematerializacji wszystkich widoków cech. Skutkiem jest atak DoS z powodu uszkodzenia danych i znacznego zużycia zasobów.
Ocena ryzyka
Atakujący może spowodować niedostępność usługi (DoS) poprzez przeciążenie systemu i uszkodzenie danych, co wpływa na wszystkich dzierżawców.
Rekomendacja
Zaktualizuj Feast do wersji z poprawką i wdróż odpowiednią walidację żądań.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Feast. An authorization bypass vulnerability exists in the /materialize and /materialize-incremental endpoints. By sending a specially crafted request that omits the feature_views field, an attacker can bypass intended permission checks. This allows an unauthenticated remote attacker, or any authenticated user, to trigger a full re-materialization of all feature views. The consequence is a Denial of Service (DoS) due to data corruption and significant resource consumption across all tenants.