CVE-2026-75338
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
disconf (Distributed Configuration Management Platform) 2.6.36 jest podatny na nieprawidłową kontrolę dostępu. Interfejsy API do pobierania konfiguracji /api/config/item, /api/config/file, /api/config/list i /api/config/simple/list są wystawione bez uwierzytelnienia. LoginInterceptor jawnie umieszcza te cztery ścieżki na białej liście, więc każdy anonimowy atakujący może odczytać każdy element konfiguracji i plik konfiguracyjny zarządzany przez centrum konfiguracji.
Ocena ryzyka
Anonimowy atakujący może uzyskać dostęp do wszystkich poufnych konfiguracji, co może prowadzić do ujawnienia danych wrażliwych i naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się usunięcie tych ścieżek z białej listy i wymuszenie uwierzytelnienia dla wszystkich interfejsów API konfiguracji.
Oryginalny opis (angielski, źródło NVD)
disconf (Distributed Configuration Management Platform) 2.6.36 is vulnerable to Incorrect Access Control. The config-fetching APIs /api/config/item, /api/config/file, /api/config/list and /api/config/simple/list are exposed without authentication. The LoginInterceptor explicitly whitelists these four paths, so any anonymous attacker can read every configuration item and configuration file managed by the config center.