CVE-2026-71299
ŚrednieCVSS 6.5Streszczenie
Znaleziono błąd w Maestro. Jego punkty końcowe API REST do zapisu zostały zarejestrowane bez odpowiedniego oprogramowania pośredniczącego do uwierzytelniania. Pozwala to zdalnemu atakującemu na wykonywanie nieautoryzowanych operacji zapisu, takich jak tworzenie, modyfikowanie lub usuwanie konsumentów i pakietów zasobów. Może to prowadzić do problemów z integralnością danych lub denial of service (DoS).
Ocena ryzyka
Atakujący może modyfikować lub usuwać krytyczne zasoby, co może prowadzić do naruszenia integralności danych lub przerwania działania usług.
Rekomendacja
Wdróż odpowiednie uwierzytelnianie dla wszystkich punktów końcowych API REST do zapisu w Maestro.
Inne podatności w Maestro
Zobacz wszystkie- CVE-2026-71298Średnie
W produkcie maestro znaleziono podatność na wstrzykiwanie SQL w parametrze `orderBy` w punktach końcowych listy API REST. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do ślepego, odczytowego wydobycia danych z bazy danych.
- CVE-2026-71297Średnie
W brokerze gRPC produktu maestro znaleziono podatność umożliwiającą zdalnemu atakującemu z ważnym certyfikatem klienta obejście uwierzytelnienia. Dzięki temu atakujący może subskrybować strumienie zdarzeń innych konsumentów, co prowadzi do nieautoryzowanego ujawnienia informacji, lub publikować sfałszowany status agenta, co może naruszyć integralność danych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Maestro. Its REST API write endpoints were registered without proper authentication middleware. This allows a remote attacker to perform unauthorized write operations, such as creating, modifying, or deleting consumers and resource bundles. This could lead to data integrity issues or a denial of service (DoS).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS