CVE-2026-33467
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Elastic Package Registry występuje podatność polegająca na nieprawidłowej weryfikacji podpisu kryptograficznego (CWE-347). Atakujący mogący przechwycić ruch sieciowy lub wpływać na treść serwowaną przez samodzielnie hostowany rejestr może podmienić zmodyfikowany pakiet bez wykrycia naruszenia integralności.
Ocena ryzyka
Organizacja może być narażona na dostarczenie zmodyfikowanych pakietów, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się aktualizację Elastic Package Registry do wersji zawierającej poprawkę weryfikacji podpisu oraz stosowanie bezpiecznych połączeń sieciowych.
Oryginalny opis (angielski, źródło NVD)
Improper Verification of Cryptographic Signature (CWE-347) in Elastic Package Registry could allow an attacker positioned to intercept network traffic, or to otherwise influence the contents served to a self-hosted registry, to substitute a tampered package without the integrity check failing closed.