CVE-2026-63044
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność SSRF w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu uwierzytelnionemu użytkownikowi (bez roli administratora) na spowodowanie, że serwer InLong Manager wykona wychodzące żądania HTTP lub połączenia TCP do dowolnych wewnętrznych hostów i portów.
Ocena ryzyka
Atakujący może wykorzystać serwer do skanowania wewnętrznej sieci, uzyskania dostępu do wewnętrznych usług lub przeprowadzenia ataków na inne systemy.
Rekomendacja
Zaktualizuj Apache InLong do wersji 2.4.0 lub zastosuj poprawkę z pull requesta #12130.
Inne podatności w Apache InLong
Zobacz wszystkie- CVE-2026-63039Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć wartość string do zapytania SQL, co umożliwia wykonanie nieautoryzowanych operacji na bazie danych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63038Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć dowolny kod SQL poprzez parametry dbName, tableName, schemaName oraz username. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63037Krytyczne
Podatność typu SQL Injection w Apache InLong. Umożliwia wstrzyknięcie SQL w klauzuli ORDER BY w bazie danych backendu Managera. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2023-35088Krytyczne
W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.
- CVE-2026-63046Wysokie
Podatność na wstrzykiwanie argumentów w Apache InLong. Moduł ModuleManager instalatora agenta wykonuje dowolne polecenia powłoki przez ExcuteLinux.exeCmd() bez filtrowania ani walidacji listy dozwolonych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63043Wysokie
Podatność typu Relative Path Traversal w Apache InLong (od 2.0.0 przed 2.4.0) pozwala na dowolny odczyt plików z systemu plików hosta Agent.
- CVE-2026-63042Wysokie
Podatność w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu użytkownikowi, który może uwierzytelnić się w menedżerze, na tworzenie, modyfikowanie i usuwanie definicji węzłów danych.
- CVE-2026-63040Wysokie
Podatność w Apache InLong umożliwia dostęp do plików lub katalogów podmiotom zewnętrznym. Komponent StreamSource nie przeprowadza kontroli autoryzacji, przez co każdy uwierzytelniony użytkownik może logicznie usunąć wszystkie źródła strumieniowe. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63016Średnie
Podatność w Apache InLong dotyczy niekontrolowanego zużycia zasobów, co może pozwolić użytkownikom na wpływ na konfigurację operacyjną lub przesyłanie nieoficjalnych pakietów. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
- CVE-2026-63015Średnie
Podatność w Apache InLong pozwala osobom niebędącym szablonami odpowiedzialnymi na przeglądanie informacji o szablonach. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
Oryginalny opis (angielski, źródło NVD)
Server-Side Request Forgery (SSRF) vulnerability in Apache InLong. Any authenticated user (no admin role required) can cause the InLong Manager server to make outbound HTTP requests or TCP connections to arbitrary internal hosts and ports. This issue affects Apache InLong: from 2.0.0 before 2.4.0. Users are advised to upgrade to Apache InLong's 2.4.0 or cherry-pick [1] to solve it. [1] https://github.com/apache/inlong/pull/12130 .