CVE-2026-66723

WysokieCVSS 7.0

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Podatność braku autoryzacji w MWDB Core (wersje >=2.2.0 i <2.19.0) w API proxy Remote Instances. API proxy nie weryfikuje uwierzytelnienia dla przychodzących żądań, co pozwala nieuwierzytelnionemu atakującemu na wysyłanie dowolnych żądań do zdalnej instancji MWDB z tożsamością i uprawnieniami skonfigurowanego klucza API. Podatność dotyczy tylko wdrożeń, w których skonfigurowano Remote Instances.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonywać nieautoryzowane działania na zdalnej instancji MWDB, takie jak modyfikacja danych lub dostęp do poufnych informacji, co narusza integralność i poufność.

Rekomendacja

Zaktualizuj MWDB Core do wersji 2.19.0, która zawiera poprawkę usuwającą brak autoryzacji w API proxy.

Inne podatności w MWDB Core

CVE-2026-66724Średnie
Podatność braku autoryzacji w MWDB Core (wersje >=2.0.0 i <2.19.0) w przestarzałych endpointach config i blob upload pozwala uwierzytelnionemu użytkownikowi bez wymaganych uprawnień na przesyłanie obiektów konfiguracji i tekstowych blobów poprzez metodę POST.

Oryginalny opis (angielski, źródło NVD)

MWDB Core versions >=2.2.0 and <2.19.0 contain a missing authorization vulnerability in the Remote Instances proxy API. The proxy API does not verify authentication for incoming requests, allowing an unauthenticated remote attacker to send arbitrary requests to a remote MWDB instance using the identity and permissions associated with the configured API key. This can result in unauthorized actions being performed on the remote instance as if executed by the user whose API key was used to set up the remote instance. The vulnerability is limited to deployments where Remote Instances have been configured.This issue has been fixed in version 2.19.0