CVE-2026-76243
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Wersje stigmem przed 0.9.0a2 pozwalają na nieuwierzytelniony dostęp, gdy uwierzytelnianie jest wyłączone na wdrożeniach innych niż loopback. Atakujący mogą wykonywać operacje odczytu, zapisu i federacji z anonimową tożsamością, gdy węzły są wystawione poza lokalne środowiska deweloperskie.
Ocena ryzyka
Nieautoryzowany dostęp do danych i operacji, co może prowadzić do naruszenia integralności i poufności danych oraz nieautoryzowanych zmian w federacji.
Rekomendacja
Zaleca się włączenie uwierzytelniania na wszystkich wdrożeniach innych niż loopback lub ograniczenie dostępu do zaufanych sieci.
Inne podatności w stigmem
Zobacz wszystkie- CVE-2026-76239Średnie
Stigmem przed wersją 0.9.0a11 nie waliduje parametru delivery_address podczas tworzenia subskrypcji webhook, co pozwala uwierzytelnionym użytkownikom na określenie wewnętrznych adresów loopback i prywatnych sieci. Atakujący mogą wywołać zdarzenia zmiany faktów, aby serwer Stigmem wysyłał żądania HTTP POST do wewnętrznych usług, umożliwiając ataki SSRF na localhost i prywatne endpointy.
- CVE-2026-76238Wysokie
stigmem przed wersją 0.9.0a12 zawiera podatność na złamanie autoryzacji na poziomie obiektu w punkcie końcowym decay sweep, która pozwala uwierzytelnionym atakującym z poświadczeniami zapisu dla jednego dzierżawcy na wykonywanie operacji decay wpływających na wszystkich dzierżawców. Atakujący mogą wysyłać żądania POST z ttl_seconds=0, aby wygaszać fakty we wszystkich dzierżawcach, lub użyć dry_run do uzyskania informacji o faktach i ich istnieniu między dzierżawcami.
Oryginalny opis (angielski, źródło NVD)
stigmem versions before 0.9.0a2 allow unauthenticated access when authentication is disabled on non-loopback deployments. Attackers can perform read, write, and federation operations with anonymous identity when nodes are exposed outside local development environments.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS