CVE-2026-33377
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Edytor może nadpisać pulpit nawigacyjny, który nie jest jego własnością, aby uzyskać uprawnienia administratora do tego konkretnego pulpitu. Użytkownik musi mieć dostęp do zapisu, aby podnieść swoje uprawnienia.
Ocena ryzyka
Istnieje ryzyko, że nieautoryzowani użytkownicy mogą uzyskać dostęp do wrażliwych danych lub funkcji administracyjnych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się ograniczenie dostępu do pulpitu nawigacyjnego tylko do uprawnionych użytkowników oraz regularne audyty uprawnień.
Inne podatności w Dashboard
Zobacz wszystkie- CVE-2026-12593Wysokie
Wewnętrzny i nieudokumentowany endpoint API Dashboardu (POST /api/users/~/{user}/tokens) nie sprawdzał wystarczających uprawnień przy tworzeniu tokena API dla innego użytkownika. Atakujący znający login uprzywilejowanego użytkownika wewnętrznego i uwierzytelniony przez OAuth/OIDC mógł sfałszować żądanie utworzenia tokena w jego imieniu.
- CVE-2026-42127Wysokie
Publiczny endpoint zapytań dashboardu nie ogranicza rozmiaru treści żądania przed przetworzeniem, co pozwala nieuwierzytelnionym atakującym na wywołanie nadmiernej alokacji pamięci poprzez wysyłanie dowolnie dużych ładunków JSON. Może to prowadzić do odmowy usługi przez wyczerpanie pamięci.
Oryginalny opis (angielski, źródło NVD)
An Editor can overwrite a dashboard not owned by them to acquire admin on that specific dashboard. The user must have write access to the dashboard to escalate privilege.