CVE-2026-40091
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
SpiceDB w wersjach 1.49.0–1.51.0 przy starcie z poziomem logowania info zapisuje w logu konfiguracji pełny DSN magazynu danych, w tym hasło w postaci jawnej w polu DatastoreConfig.URI. Podatność naprawiono w wersji 1.51.1.
Ocena ryzyka
Hasło do bazy danych może wyciec do logów, do których dostęp mają osoby nieuprawnione, co grozi nieautoryzowanym dostępem do magazynu danych.
Rekomendacja
Zaktualizuj SpiceDB do wersji 1.51.1. Jeśli aktualizacja nie jest możliwa, zmień poziom logowania na warn lub error.
Inne podatności w SpiceDB
Zobacz wszystkie- CVE-2026-55866Niskie
SpiceDB od wersji 1.34.0 do 1.54.0 może zwracać PERMISSIONSHIP_HAS_PERMISSION zamiast PERMISSIONSHIP_CONDITIONAL_PERMISSION lub PERMISSIONSHIP_NO_PERMISSION, ponieważ checkRequestToKey() i checkRequestToKeyWithCanonical() w internal/dispatch/keys/computed.go pomijają CheckHints przy budowaniu kluczy pamięci podręcznej. Wynik obliczony dla jednego zestawu wskazówek może zatruć wpis pamięci podręcznej używany przez semantycznie inny test autoryzacji.
- CVE-2026-46668Niskie
W SpiceDB od wersji 1.15.0 do przed 1.52.0 wykryto podatność, w której struktury caveat z zagnieżdżonymi listami mogą prowadzić do nieprawidłowego ponownego użycia pamięci podręcznej (cache). Poprawiono w wersji 1.52.0.
- CVE-2025-65111Średnie
SpiceDB to open source'owy system bazodanowy do tworzenia i zarządzania uprawnieniami aplikacji o krytycznym znaczeniu dla bezpieczeństwa. W wersjach przed 1.47.1, jeśli schemat zawiera określone cechy (uprawnienie zdefiniowane jako suma (+) odwołująca się do tej samej relacji po obu stronach, ale jedna strona wskazuje na inne uprawnienie), SpiceDB może zwracać niekompletne wyniki LookupResources. Problem dotyczy tylko LookupResources; inne API obliczają uprawnienia poprawnie. Naprawiono w wersji 1.47.1.
- CVE-2023-35930Niskie
SpiceDB, system baz danych inspirowany Google Zanzibar, ma problem z negatywnymi decyzjami autoryzacyjnymi przy użyciu zapytania `LookupResources` w wersji 1.22.0. Użytkownicy mogą nieprawidłowo uzyskać dostęp do zasobów, które powinny być zablokowane.
Oryginalny opis (angielski, źródło NVD)
SpiceDB is an open source database system for creating and managing security-critical application permissions. In versions 1.49.0 through 1.51.0, when SpiceDB starts with log level info, the startup "configuration" log will include the full datastore DSN, including the plaintext password, inside DatastoreConfig.URI. This issue has been fixed in version 1.51.1. If users are unable to immediately upgrade, they can work around this issue by changing the log level to warn or error.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS