CVE-2026-71297
ŚrednieCVSS 5.4Streszczenie
W brokerze gRPC produktu maestro znaleziono podatność umożliwiającą zdalnemu atakującemu z ważnym certyfikatem klienta obejście uwierzytelnienia. Dzięki temu atakujący może subskrybować strumienie zdarzeń innych konsumentów, co prowadzi do nieautoryzowanego ujawnienia informacji, lub publikować sfałszowany status agenta, co może naruszyć integralność danych.
Ocena ryzyka
Obejście uwierzytelnienia może prowadzić do wycieku wrażliwych danych oraz manipulacji statusem agentów, co zagraża integralności systemu.
Rekomendacja
Zaleca się zaktualizowanie brokera gRPC produktu maestro do wersji z poprawką oraz przegląd mechanizmów uwierzytelniania, aby zapewnić prawidłową weryfikację certyfikatów klientów.
Inne podatności w maestro
Zobacz wszystkie- CVE-2026-71299Średnie
Znaleziono błąd w Maestro. Jego punkty końcowe API REST do zapisu zostały zarejestrowane bez odpowiedniego oprogramowania pośredniczącego do uwierzytelniania. Pozwala to zdalnemu atakującemu na wykonywanie nieautoryzowanych operacji zapisu, takich jak tworzenie, modyfikowanie lub usuwanie konsumentów i pakietów zasobów. Może to prowadzić do problemów z integralnością danych lub denial of service (DoS).
- CVE-2026-71298Średnie
W produkcie maestro znaleziono podatność na wstrzykiwanie SQL w parametrze `orderBy` w punktach końcowych listy API REST. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do ślepego, odczytowego wydobycia danych z bazy danych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the maestro gRPC broker. This vulnerability allows a remote attacker, with a valid client certificate, to bypass authentication. This bypass enables the attacker to subscribe to other consumers' event streams, leading to unauthorized information disclosure, or to publish forged agent status, which can compromise data integrity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS