CVE-2026-71467
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W search-v2-api stwierdzono błąd polegający na tym, że oprogramowanie pośredniczące uwierzytelniania bezwarunkowo pomija uwierzytelnianie, gdy żądanie zawiera nagłówek `Upgrade: websocket`. Nieuwierzytelniony atakujący może to wykorzystać, wysyłając specjalnie spreparowane żądanie HTTP POST do punktu końcowego `/federated` z nagłówkiem `Upgrade: websocket`, co pozwala na ominięcie uwierzytelniania i dostęp do sfederowanych wyników wyszukiwania we wszystkich skonfigurowanych zdalnych hubach, prowadząc do ujawnienia informacji.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych wyszukiwania z wielu hubów, co może naruszyć poufność informacji organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację search-v2-api do wersji, w której poprawiono logikę uwierzytelniania, oraz wdrożenie testów regresyjnych dla nagłówka Upgrade.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in search-v2-api. The authentication middleware in the affected component unconditionally skips authentication when a request includes an `Upgrade: websocket` header. An unauthenticated attacker can exploit this by sending a specially crafted HTTP POST request to the `/federated` endpoint with the `Upgrade: websocket` header. This allows the attacker to bypass authentication and access federated search results across all configured remote managed hubs, leading to information disclosure.