CVE-2026-63405
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
AnyCable przed wersją 1.6.15 zawiera podatność w API REST kompatybilnym z Pusherem, gdzie wartość body_md5 dostarczona przez wywołującego jest uwzględniana w HMAC, ale nie jest weryfikowana z faktyczną treścią żądania. Atakujący, który zdobędzie prawidłowo podpisane żądanie POST, może podmienić treść, a brak kontroli świeżości auth_timestamp pozwala na wielokrotne odtwarzanie przechwyconego podpisu. Może to prowadzić do fałszowania zdarzeń serwerowych, modyfikacji stanu aplikacji lub dostarczania kontrolowanych wiadomości do klientów WebSocket. Problem został naprawiony w wersji 1.6.15.
Ocena ryzyka
Atakujący może fałszować zdarzenia i modyfikować stan aplikacji, co może prowadzić do naruszenia integralności danych i zaufania użytkowników.
Rekomendacja
Zaktualizuj AnyCable do wersji 1.6.15 lub nowszej. Dodatkowo rozważ wprowadzenie kontroli świeżości znaczników czasu i walidacji body_md5.
Inne podatności w AnyCable
Oryginalny opis (angielski, źródło NVD)
AnyCable is a realtime server for reliable two-way communication that supports any backend. Prior to 1.6.15, the Pusher-compatible REST API in pusher/http.go includes the caller-supplied body_md5 value in the HMAC input but does not calculate the digest of the received request body or compare it with the signed value. An attacker who obtains a legitimate signed POST request can retain its query parameters and auth_signature while replacing the body, causing Handler and handleEvents to accept and broadcast attacker-selected event content. The absence of an auth_timestamp freshness check also allows the captured signature to be replayed indefinitely. This can forge server-side events, modify application state, or deliver attacker-controlled messages to WebSocket clients within the signed request's application context. This issue is fixed in version 1.6.15.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS