CVE-2026-61718
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W BunkerWeb w wersjach od 1.6.2 do 1.6.12 lista wykluczeń autoryzacji middleware BiscuitMiddleware zawierała prefiks /cache/, co umożliwiało kontom o niskich uprawnieniach (tylko do odczytu) trwałe usuwanie plików cache zadań, zawierających dane konfiguracyjne i listy blokad. Podatność została naprawiona w wersji 1.6.12.
Ocena ryzyka
Ryzyko polega na możliwości trwałego usunięcia przez nieautoryzowanego użytkownika kluczowych danych konfiguracyjnych i list blokad, co może prowadzić do przerwania działania zabezpieczeń WAF i naruszenia integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować BunkerWeb do wersji 1.6.12 lub nowszej, która usuwa podatność poprzez poprawienie listy wykluczeń autoryzacji.
Inne podatności w BunkerWeb
Zobacz wszystkie- CVE-2026-75514Średnie
BunkerWeb przed wersją 1.6.13 zawiera podatność w modułach blacklist, greylist i antibot, które ufają dopasowaniom sufiksu PTR w IGNORE_RDNS, GREYLIST_RDNS i ANTIBOT_IGNORE_RDNS bez użycia get_ips do potwierdzenia, że nazwa hosta rozwiązuje się na adres klienta. Nieuwierzytelniony zdalny atakujący kontrolujący rekord PTR może sfałszować zaufany sufiks, aby ominąć blokowanie oparte na rDNS, uzyskać traktowanie greylist lub pominąć wyzwanie antibot.
- CVE-2026-54728Średnie
Podatność w BunkerWeb i BunkerWeb PRO przed wersjami 1.6.12 i 0.57 umożliwia niskouprzywilejowanemu, uwierzytelnionemu użytkownikowi eskalację uprawnień poprzez nieprawidłową walidację nagłówka Host w interfejsie UI i API. Problem dotyczy zależnej od konfiguracji ścieżki przetwarzania danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
bunkerweb is an Open-source and next-generation Web Application Firewall (WAF). From 1.6.2 until 1.6.12, the BunkerWeb web UI BiscuitMiddleware authorization bypass list included the /cache/ URL prefix, so routes in src/ui/app/routes/cache.py protected only by @login_required, including POST /cache/delete, allowed low-privilege read-only reader accounts to permanently delete job cache files containing blacklist, greylist, DNSBL, CrowdSec, GeoIP, ModSecurity CRS, Let's Encrypt, ACME, and custom configuration data. This issue is fixed in version 1.6.12.