CVE-2026-81505

WysokieCVSS 7.1

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Podatność w Convoy (brama webhooków) przed wersją 26.6.8 dotyczy endpointu GET /api/v1/projects/{projectID}/sources/{sourceID}. Endpoint autoryzuje dostęp do projektu w URL, ale funkcja Handler.GetSource pobiera źródło tylko po sourceID bez potwierdzenia, że ProjectID pasuje do autoryzowanego projektu. Uwierzytelniony użytkownik lub posiadacz klucza API z zakresem projektu może podstawić identyfikator źródła innego dzierżawcy i otrzymać pełny rekord źródła, w tym niezaciemnione poświadczenia AMQP, Kafka, SQS lub Google PubSub.

Ocena ryzyka

Może dojść do ujawnienia poufnych poświadczeń innych dzierżawców, co umożliwia nieautoryzowany dostęp do ich systemów.

Rekomendacja

Zaktualizuj Convoy do wersji 26.6.8 lub nowszej. Dodatkowo sprawdzaj, czy ProjectID źródła zgadza się z autoryzowanym projektem.

Inne podatności w Convoy

CVE-2026-33746Krytyczne
Convoy to panel zarządzania serwerami KVM dla firm hostingowych. Od wersji 3.9.0-beta do przed 4.5.1 metoda JWTService::decode() nie weryfikowała podpisu kryptograficznego tokenów JWT. Mimo że metoda konfigurowała symetryczny podpis HMAC-SHA256 za pomocą lcobucci/jwt, walidowała tylko roszczenia czasowe (exp, nbf, iat) przy użyciu ograniczenia StrictValidAt. Ograniczenie SignedWith nie zostało uwzględnione w walidacji. Oznacza to, że atakujący może sfałszować lub zmodyfikować ładunek tokena JWT – na przykład zmieniając roszczenie user_uuid – a token zostanie zaakceptowany jako ważny, o ile spełnione są roszczenia czasowe. Ma to bezpośredni wpływ na przepływ uwierzytelniania SSO (LoginController::authorizeToken), umożliwiając atakującemu uwierzytelnienie jako dowolny użytkownik poprzez stworzenie tokena z dowolnym user_uuid. Problem został naprawiony w wersji 4.5.1.

Oryginalny opis (angielski, źródło NVD)

Convoy is a cloud native webhooks gateway. Prior to 26.6.8, Convoy's GET /api/v1/projects/{projectID}/sources/{sourceID} endpoint authorizes access to the project in the URL, but Handler.GetSource calls sources.Service.FindSourceByID() and fetches the Source only by sourceID without confirming that its ProjectID matches the authorized project. An authenticated user or project-scoped API key holder can substitute another tenant's Source identifier and receive that Source's complete record, including unredacted AMQP, Kafka, SQS, or Google PubSub credentials. The list endpoint remains project-scoped; the single-item Source lookup is affected. This issue is fixed in version 26.6.8.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS