CVE-2026-63098
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w TheHive do wersji 4.1.24 umożliwia nieuwierzytelnionym atakującym odczyt wrażliwych danych konfiguracyjnych poprzez wysłanie żądania GET do endpointu /api/status. Brak wymaganego uwierzytelnienia w handlerze StatusCtrl.scala pozwala na ujawnienie m.in. hasła ochrony załączników magazynu danych, skonfigurowanych dostawców uwierzytelniania, ustawień SSO, możliwości MFA oraz adresów i ról węzłów klastra.
Ocena ryzyka
Organizacja narażona jest na wyciek krytycznych danych konfiguracyjnych, w tym haseł i szczegółów infrastruktury uwierzytelniania, co może prowadzić do dalszych ataków, przejęcia kont lub naruszenia integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować TheHive do wersji nowszej niż 4.1.24, w której podatność została załatana. Do czasu aktualizacji zaleca się ograniczenie dostępu do endpointu /api/status za pomocą zapory sieciowej lub reguł uwierzytelniania na poziomie proxy.
Inne podatności w TheHive
Oryginalny opis (angielski, źródło NVD)
TheHive through 4.1.24 contains an unauthenticated information disclosure vulnerability that allows unauthenticated attackers to retrieve sensitive configuration data by sending a GET request to the /api/status endpoint, which lacks authentication enforcement in the StatusCtrl.scala handler. Attackers can obtain the datastore attachment protection password, configured authentication providers, SSO settings, MFA capabilities, and clustered node addresses and roles without any credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS