CVE-2026-55867
ŚrednieCVSS 5.3Streszczenie
Graylog w wersjach od 6.2.0 do 6.3.12, 7.0.7 i 7.1.2 ma podatność w endpointcie DELETE /users/{userId}/tokens/{idOrToken}, gdzie sprawdzane są uprawnienia USERS_TOKENREMOVE dla parametru userId kontrolowanego przez atakującego, zanim zostanie rozwiązany token wybrany przez idOrToken. Uwierzytelniony użytkownik może podać autoryzowany userId, podczas gdy loadById() lub load() rozwiązuje token należący do innego użytkownika, w tym konta usługowego lub administratora, po czym destroy() usuwa ten token bez sprawdzenia AccessToken.getUserName(). Problem nie ujawnia zawartości tokena, ale nieautoryzowane usunięcie ma wpływ na integralność i może zakłócić integracje oparte na tokenach.
Ocena ryzyka
Nieautoryzowane usunięcie tokenów może zakłócić działanie systemów zintegrowanych z Graylogiem, prowadząc do przerw w dostępie i naruszenia integralności.
Rekomendacja
Zaleca się natychmiastową aktualizację Grayloga do wersji 6.3.12, 7.0.7 lub 7.1.2, które zawierają poprawkę.
Inne podatności w Graylog
Zobacz wszystkie- CVE-2026-55841Wysokie
Podatność w Graylog Server przed wersjami 6.3.12, 7.0.7 i 7.1.2 oraz Graylog Forwarder przed wersją 7.3. Parser syslog FortiGate nieprawidłowo obsługuje pola wewnątrz wartości cytowanych, co pozwala nieuwierzytelnionemu nadawcy na manipulację polami logów bezpieczeństwa lub unikanie logowania, ukrywając złośliwą aktywność.
- CVE-2026-55425Średnie
Graylog od wersji 7.1.0 do 7.1.4 oraz 7.2.0-alpha.2 pozwala uwierzytelnionemu użytkownikowi na żądanie złożonych pól wyświetlania w endpointcie tytułów encji System Catalog bez weryfikacji, czy każde wybrane pole jest czytelne. Użytkownik może pobrać chronione wartości, w tym hash hasła z czytelnego rekordu użytkownika; zwykli użytkownicy są ograniczeni do własnych rekordów, a administratorzy mogą pobrać hashe wszystkich użytkowników.
- CVE-2023-41045Niskie
Graylog, platforma do zarządzania logami, wykorzystuje jeden port źródłowy do zapytań DNS, co narusza zalecane praktyki bezpieczeństwa. To może umożliwić ataki typu DNS cache poisoning, gdzie zewnętrzny atakujący może wstrzykiwać fałszywe odpowiedzi DNS do pamięci podręcznej Grayloga.
- CVE-2023-41044Niskie
W Graylog występuje częściowa podatność na przejście ścieżki w funkcji `Support Bundle`, która pozwala atakującemu z ważnymi poświadczeniami roli Admin na pobieranie lub usuwanie plików w sąsiednich katalogach. Problem wynika z niewłaściwej walidacji danych wejściowych w zasobie API HTTP.
- CVE-2023-41041Niskie
W platformie Graylog, w przypadku klastrów wielowęzłowych, sesja użytkownika może być nadal używana do żądań API po wylogowaniu, aż do osiągnięcia pierwotnego czasu wygaśnięcia. Każdy węzeł utrzymuje lokalną pamięć podręczną sesji użytkowników, co prowadzi do sytuacji, w której inne węzły mogą nadal akceptować sesję po jej usunięciu z lokalnej pamięci podręcznej.
Oryginalny opis (angielski, źródło NVD)
Graylog is a free and open log management platform. From 6.2.0 until 6.3.12, 7.0.7, and 7.1.2, the DELETE /users/{userId}/tokens/{idOrToken} endpoint implemented by UsersResource.revokeToken() in graylog2-server/src/main/java/org/graylog2/rest/resources/users/UsersResource.java checks USERS_TOKENREMOVE permission against the attacker-controlled userId path parameter before resolving the token selected by idOrToken. An authenticated user can provide an authorized userId while accessTokenService.loadById() or accessTokenService.load() resolves a token belonging to another user, including a service account or administrator, after which accessTokenService.destroy() deletes that token without checking AccessToken.getUserName(). The issue does not expose token contents, but unauthorized deletion causes integrity impact and can disrupt access-token-based integrations. This issue is fixed in versions 6.3.12, 7.0.7, and 7.1.2.