CVE-2026-7722
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W PrefectHQ prefect do wersji 3.6.21 wykryto podatność w funkcji endswith w pliku /api/health (komponent Health Check API). Manipulacja prowadzi do nieprawidłowego uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny; poprawka znajduje się w wersji 3.6.22 (commit e21617125335025b4b27e7d6f0ca028e8e8f3b79).
Ocena ryzyka
Zdalny atakujący może obejść uwierzytelnienie i uzyskać dostęp do chronionych zasobów API. Wpływa to na poufność i integralność systemu.
Rekomendacja
Zaktualizuj Prefect do wersji 3.6.22, która zawiera poprawkę. Do czasu aktualizacji ogranicz dostęp do API Health Check do zaufanych sieci.
Inne podatności w Prefect
Zobacz wszystkie- CVE-2026-5366Krytyczne
Prefect w wersji 3.6.23 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowego obsługiwania danych wejściowych użytkownika w klasie pamięci masowej `GitRepository`. Parametr `commit_sha` przekazywany do poleceń git nie jest walidowany i nie zawiera separatora `--` odróżniającego dane wejściowe od flag git, co pozwala atakującym na wstrzykiwanie dowolnych flag git, takich jak `--upload-pack`, umożliwiając wykonanie zewnętrznych programów. Dodatkowo parametr `directories` może być wykorzystany do wstrzykiwania flag git podczas operacji sparse-checkout.
- CVE-2026-72538Wysokie
Podatność wstrzykiwania argumentów w PrefectHQ Prefect do wersji 3.8.2 pozwala uwierzytelnionym użytkownikom na osiągnięcie zdalnego wykonania kodu przez pole branch w kroku pull git_clone. Parametr branch jest przekazywany bezpośrednio do git pull bez sanityzacji, umożliwiając wstrzyknięcie dowolnych argumentów git. Jest to odrębna ścieżka kodu od niekompletnej poprawki zastosowanej dla CVE-2026-5366 i pozwala na wykonanie poleceń na serwerze Prefect.
- CVE-2026-3515Wysokie
W Prefect wersja 3.6.18, w integracji prefect-github, pole reference jest wstrzykiwane do polecenia git clone bez sanityzacji, co umożliwia wstrzyknięcie opcji git. Może to prowadzić do SSRF, kradzieży poświadczeń lub RCE.
- CVE-2026-7725Średnie
W PrefectHQ prefect do wersji 3.6.25.dev6 w pliku src/prefect/runner/storage.py (komponent GitRepository Pull Handler) manipulacja argumentami commit_sha/directories prowadzi do argument injection. Atak można przeprowadzić zdalnie, a exploit jest publiczny. Poprawka została wydana w wersji 3.6.25.dev7 (commit 6a9d9918716ce4ee0297b69f3046f7067ef1faae).
- CVE-2026-7724Średnie
W PrefectHQ prefect do wersji 3.6.28.dev1 funkcja validate_restricted_url w komponencie Webhook/Notification jest podatna na time-of-check time-of-use (TOCTOU). Atak można zainicjować zdalnie, ale charakteryzuje się wysoką złożonością i trudnością wykorzystania. Poprawka została wydana w wersji 3.6.28.dev2 (commit 7c70ac54a5e101431d83b9f2681ec88d5e0021ed).
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in PrefectHQ prefect up to 3.6.21. This impacts the function endswith of the file /api/health of the component Health Check API. Performing a manipulation results in improper authentication. The attack is possible to be carried out remotely. The exploit is now public and may be used. Upgrading to version 3.6.22 will fix this issue. The patch is named e21617125335025b4b27e7d6f0ca028e8e8f3b79. Upgrading the affected component is recommended. The vendor was contacted early, responded in a very professional manner and quickly released a fixed version of the affected product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS