CVE-2026-28564
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Apache IoTDB wykryto podatność polegającą na niewystarczającym wygaszaniu sesji oraz możliwości ominięcia uwierzytelniania przez przechwycenie i powtórne użycie żądania (replay attack). REST Basic Authentication akceptuje nieaktualne buforowane dane uwierzytelniające.
Ocena ryzyka
Atakujący może przechwycić ważne dane uwierzytelniające i użyć ich do nieautoryzowanego dostępu do systemu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaktualizować Apache IoTDB do wersji 2.0.10, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Insufficient Session Expiration, Authentication Bypass by Capture-replay vulnerability in Apache IoTDB. REST Basic Authentication Accepts Stale Cached Credentials This issue affects Apache IoTDB: from 1.0.0 before 2.0.10. Users are recommended to upgrade to version 2.0.10, which fixes the issue.