CVE-2026-81668

Wielokrotne podatności na wstrzykiwanie SQL w funkcji scoped_search w Katello umożliwiają zdalnym uwierzytelnionym użytkownikom wykonywanie dowolnych poleceń SQL za pomocą parametrów sort_by lub sort_order.

W Katello stwierdzono wadę, w której API Flatpak Remote Repositories nie egzekwuje prawidłowo autoryzacji przy dostępie do zdalnego repozytorium flatpak po identyfikatorze. Uwierzytelniony użytkownik z uprawnieniami do przeglądania zdalnych repozytoriów flatpak w jednej organizacji może uzyskać dostęp do informacji o zdalnym repozytorium flatpak należącym do innej organizacji. To samo nieograniczone wyszukiwanie jest używane przez akcję mirror, co może pozwolić na utworzenie repozytorium w produkcie, który użytkownik może edytować, skonfigurowanego z URL zdalnego repozytorium flatpak innej organizacji i przechowywanymi poświadczeniami zdalnymi.

W Katello stwierdzono wadę, w której API Docker Tags repositories nie egzekwuje prawidłowo zakresu organizacji przy listowaniu repozytoriów dla meta-tagu Docker. Uwierzytelniony użytkownik z uprawnieniami do przeglądania produktów w jednej organizacji może uzyskać metadane repozytoriów powiązanych z tagami Docker należącymi do innej organizacji, podając identyfikator tagu. Może to prowadzić do nieautoryzowanego ujawnienia informacji o konfiguracji repozytoriów między organizacjami.

Wada w rubygem-katello: RegistryProxiesController w Katello zawiera podatność obejścia autoryzacji z powodu braku przerwania wykonania w filtrze registry_authorize. Mimo że aplikacja identyfikuje nieautoryzowane żądania i wywołuje metodę unauthorized, nie zatrzymuje wykonania bieżącej ścieżki kodu (brak instrukcji return). To pozwala aplikacji przejść do dalszej logiki biznesowej i filtrów walidacji bazy danych, co ujawnia stan wewnętrzny poprzez zróżnicowane odpowiedzi, umożliwiając nieuprzywilejowanemu atakującemu enumerację prawidłowych użytkowników, organizacji i produktów w całej instancji.

Wada w rubygem-katello: podatność na iniekcję SQL w Red Hat Satellite Katello Registry Proxy. Aplikacja nie oczyszcza parametrów wejściowych używanych w zapytaniach do bazy danych w RegistryProxiesController. Metody check_blob_push_org_label i get_matching_products_from_org pobierają etykiety dostarczane przez użytkownika bezpośrednio ze ścieżki żądania i interpolują je do surowych fragmentów SQL. Ta wada jest dostępna dla użytkownika z uprawnieniem create_personal_access_tokens, nawet jeśli dostęp użytkownika jest ograniczony i nie ma przypisanej organizacji ani lokalizacji.

Podatność w Katello, gdzie API historii widoku zawartości (Content View History API) nie egzekwuje prawidłowo autoryzacji podczas uzyskiwania dostępu do widoku zawartości określonego przez użytkownika. Uwierzytelniony użytkownik z uprawnieniami do przeglądania widoków zawartości w jednej organizacji może uzyskać dostęp do historii cyklu życia widoku zawartości należącego do innej organizacji, podając jego identyfikator w dotkniętym punkcie końcowym API. Może to prowadzić do nieautoryzowanego ujawnienia informacji o cyklu życia widoku zawartości, w tym zdarzeń publikacji i promocji, powiązanych użytkowników i znaczników czasu.