CVE-2026-67594
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Spikster (do commitu e1cdf8c) zawiera podatność polegającą na braku uwierzytelnienia, która pozwala nieuwierzytelnionym zdalnym atakującym na dostęp do wszystkich tras API poprzez niewykorzystane middleware CipiAuth, które jest zarejestrowane, ale nieprzypisane do żadnej trasy.
Ocena ryzyka
Atakujący może wywołać około 50 niechronionych endpointów API, aby enumerować i provisionować serwery, resetować hasła roota, odczytywać i zapisywać dowolne pliki na hoście oraz tworzyć użytkowników baz danych.
Rekomendacja
Zaktualizuj Spikster do wersji, w której middleware CipiAuth jest poprawnie stosowane do wszystkich tras API.
Oryginalny opis (angielski, źródło NVD)
Spikster through commit e1cdf8c contains a missing authentication vulnerability that allows unauthenticated remote attackers to access all API routes by exploiting the unattached CipiAuth middleware, which is registered but never applied to any route in the API routing configuration. Attackers can invoke approximately 50 unprotected API endpoints to enumerate and provision servers, reset root passwords, read and write arbitrary files on the host, and create database users.