CVE-2026-5562
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W provectus kafka-ui do wersji 0.7.2 funkcja validateAccess w pliku /api/smartfilters/testexecutions jest podatna na wstrzykiwanie kodu. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastowe wyłączenie lub zastąpienie kafka-ui bezpieczniejszym rozwiązaniem, ponieważ producent nie wydał poprawek.
Inne podatności w kafka-ui
Zobacz wszystkie- CVE-2024-32030Wysokie
Kafka UI, open-source'owy interfejs webowy do zarządzania Apache Kafka, umożliwia łączenie się z brokerami Kafka oraz monitorowanie ich wydajności przez porty JMX. JMX oparty jest na protokole RMI, który jest podatny na ataki deserializacji. Atakujący może wykorzystać tę funkcję, łącząc backend Kafka UI z własnym złośliwym brokerem, co w najgorszym przypadku prowadzi do zdalnego wykonania kodu (RCE). Podatność występuje, gdy włączona jest właściwość dynamic.config.enabled lub gdy atakujący ma dostęp do klastra Kafka podłączonego do Kafka UI.
- CVE-2025-60537Średnie
Nieprawidłowa walidacja danych wejściowych w komponencie /kafka/ui/serdes/CustomSerdeLoader.java w kafka-ui w wersjach od v0.6.0 do v0.7.2 pozwala atakującym na wykonanie dowolnego kodu poprzez dostarczenie spreparowanych danych. Luka wynika z niewystarczającego sprawdzania danych wejściowych przed ich przetworzeniem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in provectus kafka-ui up to 0.7.2. This impacts the function validateAccess of the file /api/smartfilters/testexecutions of the component Endpoint. The manipulation leads to code injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS