CVE-2026-19759
KrytyczneCVSS 9.4Streszczenie
W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do wewnętrznych usług Google i wykonywać operacje z uprawnieniami uprzywilejowanymi, co może prowadzić do eskalacji uprawnień i naruszenia bezpieczeństwa infrastruktury. Podatność została załatana 17 czerwca 2026 r., więc klienci nie muszą podejmować działań.
Rekomendacja
Nie jest wymagane żadne działanie po stronie klienta — podatność została załatana 17 czerwca 2026 r. Zaleca się potwierdzenie, że korzystasz z aktualnej wersji usługi Google Cloud Application Integration.
Inne podatności w Google Cloud Application Integration
Zobacz wszystkie- CVE-2026-81375Wysokie
W komponencie EmailTask w Google Cloud Application Integration w wersjach przed 2026-06-30 na Google Cloud Platform występuje podatność typu Confused Deputy. Umożliwia ona uwierzytelnionemu atakującemu odczyt i eksfiltrację dowolnych plików wewnętrznych Google poprzez spreparowaną ścieżkę pliku załącznika. Podatność została załatana 30 czerwca 2026 r. i nie są wymagane żadne działania klientów.
- CVE-2026-81867Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.
- CVE-2026-12710Krytyczne
W Google Cloud Application Integration (wersje od 2025-04-28 do 2026-04-04) znaleziono podatność braku autoryzacji w QueryEngineTask, która pozwala zewnętrznemu atakującemu na dostęp do wrażliwych danych wewnętrznych. Problem został naprawiony 4 kwietnia 2026 roku; nie jest wymagane działanie ze strony klienta.
- CVE-2026-2031Krytyczne
W podatności CVE-2026-2031 występuje niewłaściwa kontrola dostępu w kilku wewnętrznych punktach API Google Cloud Application Integration przed 23 stycznia 2026 roku. Umożliwia to zdalnemu, nieautoryzowanemu atakującemu ujawnienie wrażliwych informacji oraz wykonanie dowolnego kodu za pomocą specjalnie przygotowanych żądań HTTP.
Oryginalny opis (angielski, źródło NVD)
An Incorrect Authorization vulnerability in the task configuration in Google Cloud Application Integration versions prior to 2026-06-17 on Google Cloud Platform allows an authenticated Google Cloud user to execute arbitrary internal RPCs from inside Google's production network under a privileged identity using an internal-only task type. This vulnerability was patched on 17 June 2026, and no customer action is needed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS