CVE-2026-55425

Graylog w wersjach od 6.2.0 do 6.3.12, 7.0.7 i 7.1.2 ma podatność w endpointcie DELETE /users/{userId}/tokens/{idOrToken}, gdzie sprawdzane są uprawnienia USERS_TOKENREMOVE dla parametru userId kontrolowanego przez atakującego, zanim zostanie rozwiązany token wybrany przez idOrToken. Uwierzytelniony użytkownik może podać autoryzowany userId, podczas gdy loadById() lub load() rozwiązuje token należący do innego użytkownika, w tym konta usługowego lub administratora, po czym destroy() usuwa ten token bez sprawdzenia AccessToken.getUserName(). Problem nie ujawnia zawartości tokena, ale nieautoryzowane usunięcie ma wpływ na integralność i może zakłócić integracje oparte na tokenach.

Podatność w Graylog Server przed wersjami 6.3.12, 7.0.7 i 7.1.2 oraz Graylog Forwarder przed wersją 7.3. Parser syslog FortiGate nieprawidłowo obsługuje pola wewnątrz wartości cytowanych, co pozwala nieuwierzytelnionemu nadawcy na manipulację polami logów bezpieczeństwa lub unikanie logowania, ukrywając złośliwą aktywność.

Graylog, platforma do zarządzania logami, wykorzystuje jeden port źródłowy do zapytań DNS, co narusza zalecane praktyki bezpieczeństwa. To może umożliwić ataki typu DNS cache poisoning, gdzie zewnętrzny atakujący może wstrzykiwać fałszywe odpowiedzi DNS do pamięci podręcznej Grayloga.

W Graylog występuje częściowa podatność na przejście ścieżki w funkcji `Support Bundle`, która pozwala atakującemu z ważnymi poświadczeniami roli Admin na pobieranie lub usuwanie plików w sąsiednich katalogach. Problem wynika z niewłaściwej walidacji danych wejściowych w zasobie API HTTP.

W platformie Graylog, w przypadku klastrów wielowęzłowych, sesja użytkownika może być nadal używana do żądań API po wylogowaniu, aż do osiągnięcia pierwotnego czasu wygaśnięcia. Każdy węzeł utrzymuje lokalną pamięć podręczną sesji użytkowników, co prowadzi do sytuacji, w której inne węzły mogą nadal akceptować sesję po jej usunięciu z lokalnej pamięci podręcznej.