CVE-2026-5379
NiskieCVSS 3.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o certyfikatach spoza ich autoryzowanego zakresu organizacji. Jest to przypadek CWE-863 (nieprawidłowa autoryzacja) o szacowanym CVSS 3.0 (Low). Podatność naprawiono w wersji 4.0.260203.0 platformy runZero.
Ocena ryzyka
Nieprawidłowa autoryzacja może ujawnić informacje o certyfikatach należące do innych organizacji, naruszając izolację danych. Ze względu na niski wskaźnik CVSS i wymagane wysokie uprawnienia ryzyko jest ograniczone.
Rekomendacja
Zaktualizuj platformę runZero do wersji 4.0.260203.0 lub nowszej oraz zweryfikuj konfigurację zakresów organizacji dla agentów MCP.
Inne podatności w runZero Platform
Zobacz wszystkie- CVE-2026-81846Niskie
Podatność w usłudze MCP platformy runZero umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Problem został naprawiony w wersji 5.1.260826.0, a szacunkowy wskaźnik CVSS wynosi 3.5 (niski).
- CVE-2026-7778Średnie
Rozwiązano problem, który mógł pozwolić na wyświetlenie konfiguracji dashboardu spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-269: Niewłaściwe zarządzanie uprawnieniami, o szacowanym wyniku CVSS 5.0 (średni). Problem naprawiono w wersji v4.0.260416.0 platformy runZero.
- CVE-2026-5384Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić na aktualizację poświadczeń i użycie ich do zadania spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
- CVE-2026-5382Niskie
Rozwiązano problem, który mógł ujawniać rekordy poza autoryzowanym zakresem organizacji poprzez punkty końcowe MCP. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 3.0 (Low). Problem naprawiono w wersji 4.0.260206.0 platformy runZero.
- CVE-2026-5381Niskie
Rozwiązano problem, który mógł ujawniać informacje o zadaniach poza autoryzowanym zakresem organizacji. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 2.2 (Low). Problem naprawiono w wersji 4.0.260205.0 platformy runZero.
- CVE-2026-5380Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić autoryzowanemu użytkownikowi na przeglądanie jawnych sekretów dla podzbioru typów poświadczeń i pól. Jest to instancja CWE-522: Niewystarczająca ochrona poświadczeń, o szacowanym wyniku CVSS 5.3 (średni). Podatność została naprawiona w wersji 4.0.260204.2.
- CVE-2026-5378Średnie
W runZero Platform rozwiązano problem, który pozwalał administratorom na tworzenie i aktualizowanie użytkowników poza ich autoryzowanym zakresem organizacyjnym. Jest to przykład CWE-863: Nieprawidłowa autoryzacja, o szacowanej ocenie CVSS 5.8 (średnia). Problem naprawiono w wersji 4.0.260203.0.
- CVE-2026-5376Średnie
W platformie runZero rozwiązano problem, który mógł uniemożliwić wyzwalanie limitów czasu bezczynności sesji z powodu automatycznego przeładowywania strony. Jest to instancja CWE-613: Niewystarczająca kontrola zasobów po wygaśnięciu lub zwolnieniu, o szacowanym wyniku CVSS 5.9 (średni).
- CVE-2026-5375Niskie
W platformie runZero rozwiązano problem, który mógł pozwolić użytkownikowi posiadającemu dane uwierzytelniające na przeglądanie poufnych pól poprzez odpowiedź API. Jest to wystąpienie CWE-200: ujawnienie poufnych informacji nieuprawnionemu podmiotowi, o szacowanym wyniku CVSS 2.7 (Low). Problem naprawiono w wersji 4.0.260203.0.
- CVE-2026-5374Średnie
W platformie runZero rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o remediacji i zasobach spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
Oryginalny opis (angielski, źródło NVD)
An issue that allowed MCP agents to access certificate information from outside of their authorized organization scope has been resolved. This is an instance of CWE-863: Incorrect Authorization, and has an estimated CVSS score of CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:N/A:N (3.0 Low). This issue was fixed in version 4.0.260203.0 of the runZero Platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS