CVE-2026-2255
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0 (w tym 9.3.x i 8.3.x) ujawnia poświadczenia klastra Hadoop w postaci jawnego tekstu przez API Cluster Test. Użytkownik może wykorzystać te poświadczenia do przesyłania zadań przez backend API.
Ocena ryzyka
Ujawnienie poświadczeń Hadoop może prowadzić do nieautoryzowanego dostępu do danych i zasobów klastra. Atakujący z dostępem do API może wykonywać zadania w kontekście tego samego konta.
Rekomendacja
Należy zaktualizować oprogramowanie do wersji 10.2.0.6 lub 11.0.0.0, a także ograniczyć dostęp do API Cluster Test oraz backend API.
Inne podatności w Hitachi Vantara Pentaho
Zobacz wszystkie- CVE-2026-2254Średnie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0, w tym 9.3.x i 8.3.x, nie stosuje list kontroli dostępu (ACL) na niektórych punktach końcowych API związanych z powiadomieniami e-mail platformy.
- CVE-2026-2253Wysokie
Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.7 i 11.0.0.0, w tym 9.3.x i 8.3.x, nie zapobiega rozwiązywaniu zewnętrznych encji przez niektóre parsery XML.
Oryginalny opis (angielski, źródło NVD)
Hitachi Vantara Pentaho Data Integration & Analytics versions before 10.2.0.6 and 11.0.0.0, including 9.3.x and 8.3.x, expose Hadoop cluster credentials in plain text through the Cluster Test API. Although the user should not see those explicitly, the defect is mitigated by the fact the user can already leverage those credentials to submit jobs under the same account through the backend API.