CVE-2026-81029
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
OpenMetadata akceptuje dostarczony przez wywołującego cel przekierowania po uwierzytelnieniu i dołącza do niego wygenerowany token. SamlLoginServlet odczytuje parametr callback i zapisuje go w sesji bez porównania z zarejestrowanym celem, a serwlet konsumenta później formatuje tę wartość do URL z JWT i danymi konta. Podobnie działają procedury OIDC i OAuth2. Atakujący może dostarczyć link, który po zalogowaniu ofiary wysyła token do kontrolowanego przez atakującego celu, co pozwala na przejęcie konta.
Ocena ryzyka
Użytkownik, który kliknie złośliwy link i się zaloguje, może stracić kontrolę nad swoim kontem, co prowadzi do naruszenia danych i nieautoryzowanych działań.
Rekomendacja
Zaktualizuj OpenMetadata do wersji 2.0.0 lub nowszej, która usuwa parametr callback. Jeśli używasz wersji 1.x, skonfiguruj walidację celu przekierowania lub zastosuj obejście.
Inne podatności w OpenMetadata
Zobacz wszystkie- CVE-2026-100373Średnie
OpenMetadata do wersji 2.0.2 zawiera podatność na Server-Side Request Forgery (SSRF) w funkcji URLValidator.validateURL, która nie rozwiązuje poprawnie nazw DNS i nie waliduje adresów wewnętrznych. Użytkownicy z uprawnieniami do tworzenia lub aktualizacji EventSubscription mogą ustawić webhooki na wewnętrzne hosty, umożliwiając serwerowi wysyłanie żądań do prywatnych sieci i endpointów metadanych chmury, zwracając kody statusu HTTP, które umożliwiają ślepe badanie SSRF.
- CVE-2026-46481Wysokie
W OpenMetadata przed wersją 1.12.4, niebędący administratorem użytkownik SSO może wywołać przepływ pracy TEST_CONNECTION dla usługi bazy danych i otrzymać w odpowiedzi HTTP 201 zarówno hasło bazy danych w postaci jawnego tekstu, jak i token JWT bota ingestującego. Token ten może być następnie użyty do uzyskania dostępu do wrażliwych interfejsów API z uprawnieniami bota.
- CVE-2026-22244Wysokie
OpenMetadata w wersjach od 1.5.0 do 1.11.3 jest podatny na zdalne wykonanie kodu poprzez wstrzyknięcie szablonów po stronie serwera (SSTI) w szablonach e-mail FreeMarker. Atak wymaga uprawnień administracyjnych. Wersja 1.11.4 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
OpenMetadata accepts a caller-supplied post-authentication redirect target and appends the issued token to it. SamlLoginServlet reads the callback request parameter and stores it in the HTTP session without comparing it against any configured or registered destination, and the assertion consumer servlet later formats that stored value into a URL carrying the freshly issued JWT together with the account's email and name before sending the redirect. The OIDC and OAuth2 handler follows the same pattern with its own redirect parameter and the issued identity token. A request naming a destination the attacker controls therefore causes the server to deliver a valid token for whoever completes the login to that destination. Because the token authenticates API calls as that account, a user who follows such a link and authenticates hands over control of their account. Version 2.0.0 removes the caller-supplied callback parameter; no 1.x release validates it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS