CVE-2026-59388

ŚrednieCVSS 6.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Cloud Controller (CAPI) ujawnia poufne dane w logach audytu w wielu miejscach: dane uwierzytelniające niestandardowych buildpacków są widoczne w zdarzeniach audytu dla aplikacji manifestu, tworzenia i aktualizacji; dane uwierzytelniające URL syslog drain są widoczne w zdarzeniach audytu instancji usług dostarczonych przez użytkownika; a parametry powiązań usług są ujawniane w zdarzeniach audytu manifestu aplikacji i powiązań usług.

Ocena ryzyka

Osoby mające dostęp do logów audytu mogą uzyskać poufne dane uwierzytelniające, takie jak hasła buildpacków, dane syslog drain i parametry powiązań usług, co może prowadzić do nieautoryzowanego dostępu do systemów zewnętrznych.

Rekomendacja

Zaktualizuj Cloud Controller do wersji zawierającej poprawkę. Do czasu wdrożenia ogranicz dostęp do logów audytu i rozważ rotację ujawnionych danych uwierzytelniających.

Inne podatności w Cloud Controller (CAPI)

CVE-2026-59387Wysokie
Konfiguracja routingu Nginx dla Cloud Controller blokuje nieuwierzytelniony dostęp do endpointów /internal/v4/ i /internal/v5/, ale pomija równoważną regułę deny dla /internal/v3/. W efekcie endpointy callbacków stagingu /internal/v3/staging/:guid/droplet_completed i /internal/v3/staging/:guid/build_completed są osiągalne z publicznego listenera API bez OAuth ani mutual TLS.

Oryginalny opis (angielski, źródło NVD)

Cloud Controller (CAPI) leaks sensitive data into audit logs in multiple instances: custom buildpack credentials are exposed in audit events for app manifest application, creation, and updates; syslog drain URL credentials are exposed in user-provided service instance audit events; and service binding parameters are leaked in app manifest and service binding audit events.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS