CVE-2026-66053
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w Apache Thrift Python bindings przed wersją 0.24.0 polega na nieprawidłowej walidacji certyfikatu przy niezgodności nazwy hosta, co umożliwia ataki typu man-in-the-middle.
Ocena ryzyka
Atakujący może podszyć się pod serwer i przechwycić lub modyfikować komunikację, naruszając poufność i integralność danych.
Rekomendacja
Zaktualizuj Apache Thrift do wersji 0.24.0, która usuwa tę podatność.
Inne podatności w Apache Thrift
Zobacz wszystkie- CVE-2026-58662Krytyczne
Nieprawidłowa walidacja ilości w danych wejściowych oraz odczyt poza zakresem w powiązaniach C++ Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-58023Krytyczne
Podatność w Apache Thrift c_glib bindings przed wersją 0.24.0 powoduje odczyt poza zakresem (out-of-bounds read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55971Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na przepełnienie bufora sterty w bindingu C++, co może prowadzić do awarii lub potencjalnie zdalnego wykonania kodu.
- CVE-2026-48144Krytyczne
Apache Thrift w wersjach przed 0.24.0 zawiera podatność na nieprawidłową walidację certyfikatu z niezgodnością nazwy hosta w bindingu c_glib, co może umożliwić ataki typu man-in-the-middle.
- CVE-2026-58389Wysokie
Podatność na alokację zasobów bez ograniczeń w powiązaniach Rust Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55970Średnie
Podatność w Apache Thrift C++ bindings przed wersją 0.24.0 powoduje odczyt poza zakresem bufora (buffer over-read), co może prowadzić do ujawnienia danych lub awarii.
- CVE-2026-55969Wysokie
Podatność na przepełnienie lub zawijanie liczb całkowitych w powiązaniach C++, c_glib, Go, netstd, Delphi i Haxe Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-55968Wysokie
Podatność na nieefektywną złożoność algorytmiczną i alokację zasobów bez ograniczeń w powiązaniach Node.js Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-49158Wysokie
Podatność na nieprawidłowe obsługiwanie silnie skompresowanych danych (amplifikacja danych) w powiązaniach Ruby Apache Thrift. Problem dotyczy wersji przed 0.24.0.
- CVE-2026-48586Wysokie
Podatność na nieprawidłowe obsługiwanie silnie skompresowanych danych (amplifikacja danych) w powiązaniach C++, Java, Python, Go, D, C/GLib Apache Thrift. Problem dotyczy wersji przed 0.24.0.
Oryginalny opis (angielski, źródło NVD)
Improper Validation of Certificate with Host Mismatch vulnerability in Apache Thrift Python bindings. This issue affects Apache Thrift: before 0.24.0. Users are recommended to upgrade to version 0.24.0, which fixes the issue. This replaces CVE-2026-41603