CVE-2026-19391
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W insights-core stwierdzono błąd, w którym warstwa maskująca hasła nie rozpoznaje poświadczeń niekluczowanych pod literałem 'password'. Umożliwia to umieszczenie haseł wiążących LDAP SSSD (ldap_default_authtok) oraz poświadczeń urządzeń fence Pacemaker w postaci jawnego tekstu w archiwach przesyłanych do console.redhat.com.
Ocena ryzyka
Ujawnienie poufnych poświadczeń w postaci jawnego tekstu może prowadzić do nieautoryzowanego dostępu do systemów i naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj insights-core do wersji z poprawką i sprawdź, czy żadne wrażliwe dane nie zostały już przesłane w archiwach.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in insights-core where the password redaction layer fails to recognize credentials not keyed under the literal string 'password'. This allows SSSD LDAP bind passwords (ldap_default_authtok) and Pacemaker fence device credentials to be included in cleartext in archives uploaded to console.redhat.com.