CVE-2026-71298
ŚrednieCVSS 6.4Streszczenie
W produkcie maestro znaleziono podatność na wstrzykiwanie SQL w parametrze `orderBy` w punktach końcowych listy API REST. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do ślepego, odczytowego wydobycia danych z bazy danych.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych, co może prowadzić do naruszenia poufności informacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie produktu maestro do wersji zawierającej poprawkę oraz wdrożenie walidacji i parametryzacji zapytań SQL dla parametru `orderBy`.
Inne podatności w maestro
Zobacz wszystkie- CVE-2026-71299Średnie
Znaleziono błąd w Maestro. Jego punkty końcowe API REST do zapisu zostały zarejestrowane bez odpowiedniego oprogramowania pośredniczącego do uwierzytelniania. Pozwala to zdalnemu atakującemu na wykonywanie nieautoryzowanych operacji zapisu, takich jak tworzenie, modyfikowanie lub usuwanie konsumentów i pakietów zasobów. Może to prowadzić do problemów z integralnością danych lub denial of service (DoS).
- CVE-2026-71297Średnie
W brokerze gRPC produktu maestro znaleziono podatność umożliwiającą zdalnemu atakującemu z ważnym certyfikatem klienta obejście uwierzytelnienia. Dzięki temu atakujący może subskrybować strumienie zdarzeń innych konsumentów, co prowadzi do nieautoryzowanego ujawnienia informacji, lub publikować sfałszowany status agenta, co może naruszyć integralność danych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in maestro. A remote attacker could exploit a SQL injection vulnerability in the `orderBy` query parameter of its REST API list endpoints. This flaw, which does not require authentication, allows for read-only blind extraction of data from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS