CVE-2026-45223
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Crabbox przed wersją 0.9.0 zawiera podatność na pominięcie uwierzytelniania w ścieżce weryfikacji tokena użytkownika koordynatora. Funkcja verifyUserToken() nie odrzuca ładunków zawierających deklarację admin, co umożliwia atakującym eskalację uprawnień.
Ocena ryzyka
Atakujący posiadający dostęp do współdzielonego tokena niebędącego adminem może uzyskać pełny dostęp administracyjny do koordynatora, w tym wgląd w dzierżawy, zarządzanie stanem puli oraz wymuszone operacje zwalniania.
Rekomendacja
Należy niezwłocznie zaktualizować Crabbox do wersji 0.9.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Crabbox
Zobacz wszystkie- CVE-2026-8634Krytyczne
Podatność w Crabbox przed wersją 0.12.0 umożliwia wyciek zmiennych środowiskowych, takich jak tokeny API, dane uwierzytelniające do chmury i tokeny brokera, do zdalnego środowiska poleceń. Atakujący z dostępem do złośliwego lub skompromitowanego repozytorium mogą wykorzystać zbyt liberalne reguły dozwalania zmiennych środowiskowych w lokalnej konfiguracji repozytorium Crabbox.
- CVE-2026-8629Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia eskalację uprawnień użytkownikom z dostępem tylko do odczytu. Atakujący mogą wysyłać żądania POST do endpointów ticketów, aby uzyskać bilety agentów Code, WebVNC i Egress, co pozwala na podszywanie się pod zaufane mosty.
- CVE-2026-8621Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia ominięcie uwierzytelniania. Osoby posiadające token współdzielony mogą podszyć się pod innych właścicieli lub organizacje poprzez fałszowanie nagłówków tożsamości.
- CVE-2026-45224Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na przechodzenie poza katalog (path traversal) w dostawcy Islo podczas rozwiązywania ścieżki obszaru roboczego. Atakujący może dostarczyć absolutne lub względne ścieżki, które wychodzą poza zamierzony katalog /workspace.
Oryginalny opis (angielski, źródło NVD)
Crabbox before 0.9.0 contains an authentication bypass vulnerability in the coordinator user-token verification path where the verifyUserToken() function fails to reject payloads containing an admin claim, allowing attackers to escalate privileges. An attacker with access to the shared non-admin token can craft a user-token payload with admin: true, sign it using HMAC-SHA256, and present it to admin-only coordinator routes to gain full coordinator admin access including lease visibility, pool state management, and forced release operations.