CVE-2026-32641

WysokieCVSS 7.5

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.92%

Percentyl 59 - wyżej niż 59% wszystkich znanych CVE

Streszczenie

Parseable przed wersją 3.0.0 używa unwrap() podczas parsowania nagłówka x-amz-firehose-common-attributes przed uwierzytelnieniem. Zdalny nieuwierzytelniony atakujący może dostarczyć dane niebędące UTF-8, zniekształcony JSON lub nieprawidłowe wartości nagłówka, wywołując panikę Rusta i przerwanie obsługi żądań.

Ocena ryzyka

Powtarzane żądania mogą doprowadzić do odmowy usługi lub pętli restartów kontenera, zakłócając działanie platformy analitycznej.

Rekomendacja

Zaktualizuj Parseable do wersji 3.0.0 lub nowszej, która naprawia ten problem.

Inne podatności w Parseable

CVE-2026-56783Średnie
Podatność w Parseable przed wersją 2.9.2 ujawnia tokeny webhook i dane uwierzytelniające basic-auth w postaci jawnego tekstu w odpowiedziach API endpointów powiadomień. Funkcja maskowania sekretów została zakomentowana, co pozwala każdemu uwierzytelnionemu użytkownikowi z akcją GetAlert, w tym rolom o niskich uprawnieniach, na odzyskanie tych danych.

Oryginalny opis (angielski, źródło NVD)

Parseable is a log analytics platform built for high-volume data ingestion and analysis. Prior to 3.0.0, src/handlers/http/middleware.rs uses unwrap() while parsing the x-amz-firehose-common-attributes header before authentication. A remote unauthenticated attacker can supply non-UTF-8 header data, malformed JSON, or invalid derived header values that trigger a Rust panic and interrupt request handling, allowing repeated requests to deny service or cause container restart loops. This issue is fixed in version 3.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS