CVE-2026-67208
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
Juggle do wersji 1.6.0 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez połączenie z odsłoniętą konsolą webową bazy danych H2 przy użyciu domyślnych poświadczeń.
Ocena ryzyka
Atakujący może uzyskać dostęp do konsoli H2, uwierzytelnić się domyślnymi danymi i wykorzystać technikę CREATE ALIAS Runtime.exec() do wykonania dowolnych poleceń z uprawnieniami roota w domyślnym obrazie Docker.
Rekomendacja
Zmień domyślne poświadczenia bazy danych H2, zablokuj dostęp do konsoli H2 lub zaktualizuj do wersji, w której usunięto tę podatność.
Oryginalny opis (angielski, źródło NVD)
Juggle through 1.6.0 contains a remote code execution vulnerability that allows unauthenticated remote attackers to execute arbitrary OS commands by connecting to the exposed H2 database web console using default shipped credentials. Attackers can access the unprotected /h2-console endpoint, authenticate with default credentials, and leverage the H2 CREATE ALIAS Runtime.exec() technique to execute arbitrary commands, resulting in root-level code execution when running the stock Docker image.