CVE-2026-41491

Wysokie

Opublikowano: 08/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Dapr, od wersji 1.3.0 do przed 1.15.14, 1.16.0-rc.1 do przed 1.16.14 oraz 1.17.0-rc.1 do przed 1.17.5, odkryto podatność, która umożliwia obejście polityk kontroli dostępu dla wywołań usług przy użyciu zarezerwowanych znaków URL i sekwencji przechodzenia przez ścieżki. Polityka ACL normalizowała ścieżkę metody niezależnie od warstwy dyspozycyjnej, co prowadziło do oceny jednej ścieżki przez ACL, podczas gdy aplikacja docelowa otrzymywała inną.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego dostępu do usług, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.

Rekomendacja

Zaleca się aktualizację Dapr do wersji 1.15.14, 1.16.14 lub 1.17.5, aby usunąć tę podatność.

Inne podatności w Dapr

CVE-2023-37918Średnie
W Dapr odkryto podatność, która umożliwia obejście uwierzytelniania za pomocą tokena API. Atakujący może skonstruować odpowiednie żądanie HTTP, które zostanie zaakceptowane przez Dapr, nawet jeśli token jest nieprawidłowy lub brak go w żądaniu.

Oryginalny opis (angielski, źródło NVD)

Dapr is a portable, event-driven, runtime for building distributed applications across cloud and edge. From versions 1.3.0 to before 1.15.14, 1.16.0-rc.1 to before 1.16.14, and 1.17.0-rc.1 to before 1.17.5, a vulnerability has been found in Dapr that allows bypassing access control policies for service invocation using reserved URL characters and path traversal sequences in method paths. The ACL normalized the method path independently from the dispatch layer, so the ACL evaluated one path while the target application received a different one. This issue has been patched in versions 1.15.14, 1.16.14, and 1.17.5.