CVE-2026-71468
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W acm-search-v2-api-rhel9 funkcja `getFederationConfig` podczas odświeżania pamięci podręcznej nieprawidłowo ponownie używa tokena bearer użytkownika dla wszystkich kolejnych żądań federacyjnych aż do wygaśnięcia pamięci podręcznej. Pozwala to innym uwierzytelnionym użytkownikom na nieautoryzowany dostęp do wyników wyszukiwania zdalnego zarządzanego huba, prowadząc do ujawnienia informacji.
Ocena ryzyka
Nieautoryzowany dostęp do wyników wyszukiwania może ujawnić wrażliwe dane o zarządzanych klastrach, co może naruszyć poufność informacji i zasady bezpieczeństwa organizacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie acm-search-v2-api-rhel9 do wersji, która nie ponownie używa tokenów bearer, oraz wdrożenie mechanizmów wygaszania pamięci podręcznej. Należy również monitorować logi pod kątem nieautoryzowanych żądań federacyjnych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in acm-search-v2-api-rhel9. When the `getFederationConfig` function refreshes its cache, it improperly reuses a user's bearer token for all subsequent federated requests until the cache expires. This allows other authenticated users to gain unauthorized access to remote managed hub search results, leading to information disclosure.