CVE-2026-66724

ŚrednieCVSS 5.3

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Podatność braku autoryzacji w MWDB Core (wersje >=2.0.0 i <2.19.0) w przestarzałych endpointach config i blob upload pozwala uwierzytelnionemu użytkownikowi bez wymaganych uprawnień na przesyłanie obiektów konfiguracji i tekstowych blobów poprzez metodę POST.

Ocena ryzyka

Użytkownik bez odpowiednich uprawnień może dodać nowe konfiguracje lub blob-y, co może prowadzić do nieautoryzowanych zmian w systemie.

Rekomendacja

Należy zaktualizować MWDB Core do wersji 2.19.0 lub nowszej.

Inne podatności w MWDB Core

CVE-2026-66723Wysokie
Podatność braku autoryzacji w MWDB Core (wersje >=2.2.0 i <2.19.0) w API proxy Remote Instances. API proxy nie weryfikuje uwierzytelnienia dla przychodzących żądań, co pozwala nieuwierzytelnionemu atakującemu na wysyłanie dowolnych żądań do zdalnej instancji MWDB z tożsamością i uprawnieniami skonfigurowanego klucza API. Podatność dotyczy tylko wdrożeń, w których skonfigurowano Remote Instances.

Oryginalny opis (angielski, źródło NVD)

MWDB Core versions >=2.0.0 and <2.19.0 contain a missing authorization vulnerability in the deprecated config and blob upload endpoints. These endpoints accept the undocumented POST method, which bypasses the capability checks applied to the documented PUT method. This allows any authenticated user without the adding_configs or adding_blobs capabilities to upload config and text blob objects to the system. The impact is limited to adding new config and blob objects. This issue has been fixed in version 2.19.0