CVE-2026-58167

ŚrednieCVSS 6.5

Opublikowano: 30/06/2026(UTC)Zaktualizowano: 25/10/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

Podatność w Nightingale (n9e) przed wersją 9.0.0-beta.2 umożliwia każdemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami (rola Standard) odczyt pełnych konfiguracji źródeł danych, w tym haseł baz danych, tokenów HTTP Bearer, haseł HTTP Basic Auth oraz kluczy klienckich mTLS. Dzieje się tak przez endpoint POST /api/n9e/datasource/list, który nie wymaga autoryzacji administratora, a filtr DatasourceFilter nie usuwa pól zawierających sekrety.

Ocena ryzyka

Ujawnione dane uwierzytelniające umożliwiają atakującemu dostęp do podłączonych systemów zewnętrznych, co może prowadzić do wycieku danych, nieautoryzowanego dostępu lub dalszej eskalacji ataku w infrastrukturze.

Rekomendacja

Należy natychmiast zaktualizować Nightingale do wersji 9.0.0-beta.2 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do endpointu /api/n9e/datasource/list tylko dla administratorów.

Inne podatności w Nightingale

CVE-2026-85692Średnie
Nightingale (n9e), w stanie na commit 8362cbe (gałąź główna, potwierdzony 2026-08-27), zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji isPublicIP w aiagent/tools/http.go, która jest zabezpieczeniem SSRF dla narzędzia http_fetch agenta AI. Funkcja rozwija tylko standardowe adresy IPv6 z mapowaniem IPv4 (::ffff:a.b.c.d) przed sprawdzeniem ich na liście zabronionych zakresów i nie klasyfikuje adresów 6to4 (2002::/16), NAT64 (64:ff9b::/96, 64:ff9b:1::/48) ani przestarzałych adresów site-local (fec0::/10). Na hoście z podwójnym stosem lub z włączonym NAT64 atakujący, który może dostarczyć URL do narzędzia http_fetch, może ominąć zabezpieczenie, kodując zabroniony adres IPv4 (taki jak punkt końcowy metadanych instancji chmury 169.254.169.254) w jednej z tych form IPv6, aby uzyskać dostęp do wewnętrznych lub metadanych usług.

Oryginalny opis (angielski, źródło NVD)

Nightingale (n9e) before 9.0.0-beta.2 exposes full datasource configurations, including plaintext database passwords, HTTP bearer tokens, HTTP basic-auth passwords, and mTLS client keys, to any authenticated low-privilege (Standard role) user through POST /api/n9e/datasource/list. The route is registered without an admin authorization gate, unlike the sibling datasource mutation routes, and the open-source DatasourceFilter does not redact secret fields, so the secret-bearing settings, http, and auth objects are serialized in the response. The disclosed credentials enable access to the connected downstream systems.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS