CVE-2026-5374
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W platformie runZero rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o remediacji i zasobach spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
Ocena ryzyka
Agenci MCP mogą ujawniać dane o zasobach i remediacji należące do innych organizacji, naruszając izolację i poufność.
Rekomendacja
Zaktualizuj platformę runZero do wersji 4.0.260202.0 lub nowszej. Zweryfikuj konfigurację uprawnień agentów MCP.
Inne podatności w runZero Platform
Zobacz wszystkie- CVE-2026-81846Niskie
Podatność w usłudze MCP platformy runZero umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Problem został naprawiony w wersji 5.1.260826.0, a szacunkowy wskaźnik CVSS wynosi 3.5 (niski).
- CVE-2026-7778Średnie
Rozwiązano problem, który mógł pozwolić na wyświetlenie konfiguracji dashboardu spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-269: Niewłaściwe zarządzanie uprawnieniami, o szacowanym wyniku CVSS 5.0 (średni). Problem naprawiono w wersji v4.0.260416.0 platformy runZero.
- CVE-2026-5384Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić na aktualizację poświadczeń i użycie ich do zadania spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
- CVE-2026-5382Niskie
Rozwiązano problem, który mógł ujawniać rekordy poza autoryzowanym zakresem organizacji poprzez punkty końcowe MCP. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 3.0 (Low). Problem naprawiono w wersji 4.0.260206.0 platformy runZero.
- CVE-2026-5381Niskie
Rozwiązano problem, który mógł ujawniać informacje o zadaniach poza autoryzowanym zakresem organizacji. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 2.2 (Low). Problem naprawiono w wersji 4.0.260205.0 platformy runZero.
- CVE-2026-5380Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić autoryzowanemu użytkownikowi na przeglądanie jawnych sekretów dla podzbioru typów poświadczeń i pól. Jest to instancja CWE-522: Niewystarczająca ochrona poświadczeń, o szacowanym wyniku CVSS 5.3 (średni). Podatność została naprawiona w wersji 4.0.260204.2.
- CVE-2026-5379Niskie
Rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o certyfikatach spoza ich autoryzowanego zakresu organizacji. Jest to przypadek CWE-863 (nieprawidłowa autoryzacja) o szacowanym CVSS 3.0 (Low). Podatność naprawiono w wersji 4.0.260203.0 platformy runZero.
- CVE-2026-5378Średnie
W runZero Platform rozwiązano problem, który pozwalał administratorom na tworzenie i aktualizowanie użytkowników poza ich autoryzowanym zakresem organizacyjnym. Jest to przykład CWE-863: Nieprawidłowa autoryzacja, o szacowanej ocenie CVSS 5.8 (średnia). Problem naprawiono w wersji 4.0.260203.0.
- CVE-2026-5376Średnie
W platformie runZero rozwiązano problem, który mógł uniemożliwić wyzwalanie limitów czasu bezczynności sesji z powodu automatycznego przeładowywania strony. Jest to instancja CWE-613: Niewystarczająca kontrola zasobów po wygaśnięciu lub zwolnieniu, o szacowanym wyniku CVSS 5.9 (średni).
- CVE-2026-5375Niskie
W platformie runZero rozwiązano problem, który mógł pozwolić użytkownikowi posiadającemu dane uwierzytelniające na przeglądanie poufnych pól poprzez odpowiedź API. Jest to wystąpienie CWE-200: ujawnienie poufnych informacji nieuprawnionemu podmiotowi, o szacowanym wyniku CVSS 2.7 (Low). Problem naprawiono w wersji 4.0.260203.0.
Oryginalny opis (angielski, źródło NVD)
An issue that allowed MCP agents to access remediation and asset information from outside of the authorized organization scope has been resolved. This is an instance of CWE-863: Incorrect Authorization, and has an estimated CVSS score of CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:N/A:N (5.8 Medium). This issue was fixed in version 4.0.260202.0 of the runZero Platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS