CVE-2026-63042
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu użytkownikowi, który może uwierzytelnić się w menedżerze, na tworzenie, modyfikowanie i usuwanie definicji węzłów danych.
Ocena ryzyka
Nieautoryzowany użytkownik może manipulować konfiguracją węzłów danych, co może prowadzić do zakłócenia działania systemu lub nieautoryzowanego dostępu do danych.
Rekomendacja
Zaktualizuj Apache InLong do wersji 2.4.0 lub zastosuj poprawkę z pull requesta #12161.
Inne podatności w Apache InLong
Zobacz wszystkie- CVE-2026-63039Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć wartość string do zapytania SQL, co umożliwia wykonanie nieautoryzowanych operacji na bazie danych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63038Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć dowolny kod SQL poprzez parametry dbName, tableName, schemaName oraz username. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63037Krytyczne
Podatność typu SQL Injection w Apache InLong. Umożliwia wstrzyknięcie SQL w klauzuli ORDER BY w bazie danych backendu Managera. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2023-35088Krytyczne
W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.
- CVE-2026-63046Wysokie
Podatność na wstrzykiwanie argumentów w Apache InLong. Moduł ModuleManager instalatora agenta wykonuje dowolne polecenia powłoki przez ExcuteLinux.exeCmd() bez filtrowania ani walidacji listy dozwolonych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63044Średnie
Podatność SSRF w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu uwierzytelnionemu użytkownikowi (bez roli administratora) na spowodowanie, że serwer InLong Manager wykona wychodzące żądania HTTP lub połączenia TCP do dowolnych wewnętrznych hostów i portów.
- CVE-2026-63043Wysokie
Podatność typu Relative Path Traversal w Apache InLong (od 2.0.0 przed 2.4.0) pozwala na dowolny odczyt plików z systemu plików hosta Agent.
- CVE-2026-63040Wysokie
Podatność w Apache InLong umożliwia dostęp do plików lub katalogów podmiotom zewnętrznym. Komponent StreamSource nie przeprowadza kontroli autoryzacji, przez co każdy uwierzytelniony użytkownik może logicznie usunąć wszystkie źródła strumieniowe. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63016Średnie
Podatność w Apache InLong dotyczy niekontrolowanego zużycia zasobów, co może pozwolić użytkownikom na wpływ na konfigurację operacyjną lub przesyłanie nieoficjalnych pakietów. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
- CVE-2026-63015Średnie
Podatność w Apache InLong pozwala osobom niebędącym szablonami odpowiedzialnymi na przeglądanie informacji o szablonach. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
Oryginalny opis (angielski, źródło NVD)
Files or Directories Accessible to External Parties vulnerability in Apache InLong. Any user who can authenticate to the manager can create, modify and delete Data Node definitions. This issue affects Apache InLong: from 2.0.0 before 2.4.0. Users are advised to upgrade to Apache InLong's 2.4.0 or cherry-pick [1] to solve it. [1] https://github.com/apache/inlong/pull/12161 .