CVE-2026-19016
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Consul Community Edition i Consul Enterprise w wersjach 1.19.1 do 2.0.2 nie egzekwowały uprawnienia ACL `session:write` dla operacji usuwania sesji przesyłanych przez API transakcji. Uwierzytelniony atakujący z dostępem sieciowym do portu RPC serwera Consul może usuwać dowolne sesje bez wymaganego uprawnienia.
Ocena ryzyka
Atakujący może usuwać sesje innych użytkowników, co może prowadzić do przerwania działania usług lub naruszenia integralności danych.
Rekomendacja
Należy zaktualizować Consul do wersji 2.0.3 (Community) lub odpowiedniej wersji Enterprise (1.21.17, 1.22.11, 2.0.3).
Oryginalny opis (angielski, źródło NVD)
Consul Community Edition and Consul Enterprise 1.19.1 through 2.0.2 did not enforce the {{session:write}} ACL permission for session deletion operations submitted through the transaction API. An authenticated caller with network access to the Consul server RPC port could delete arbitrary sessions without holding the required permission. This vulnerability, CVE-2026-19016, is fixed in Consul 2.0.3 and Consul Enterprise 1.21.17, 1.22.11, and 2.0.3.