CVE-2026-81668
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W Katello API reguł filtrów widoków zawartości nie egzekwuje autoryzacji na poziomie nadrzędnego filtra. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do reguł filtrów w innej organizacji.
Ocena ryzyka
Nieautoryzowany dostęp do informacji o regułach filtrów i możliwość nieautoryzowanych zmian konfiguracji filtrów.
Rekomendacja
Zastosuj poprawki producenta i ogranicz uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Katello
Zobacz wszystkie- CVE-2016-3072Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w funkcji scoped_search w Katello umożliwiają zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL za pomocą parametrów sort_by lub sort_order.
- CVE-2026-79654Średnie
Podatność w Katello, gdzie API historii widoku zawartości (Content View History API) nie egzekwuje prawidłowo autoryzacji podczas uzyskiwania dostępu do widoku zawartości określonego przez użytkownika. Uwierzytelniony użytkownik z uprawnieniami do przeglądania widoków zawartości w jednej organizacji może uzyskać dostęp do historii cyklu życia widoku zawartości należącego do innej organizacji, podając jego identyfikator w dotkniętym punkcie końcowym API. Może to prowadzić do nieautoryzowanego ujawnienia informacji o cyklu życia widoku zawartości, w tym zdarzeń publikacji i promocji, powiązanych użytkowników i znaczników czasu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Katello where the Content View Filter Rules API does not properly enforce authorization on the parent Content View Filter. An authenticated, low-privileged user with Content View permissions in one organization may be able to access and modify filter rules belonging to a Content View Filter in another organization by supplying that filter's identifier. This can result in unauthorized disclosure of filter-rule information and unauthorized changes to unpublished Content View filter configuration.