CVE-2026-82279
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
HyperDX do wersji 1.10.1 nie egzekwuje kontroli dostępu opartej na rolach w punktach końcowych zarządzania zespołem, co pozwala każdemu członkowi zespołu na wykonywanie działań administracyjnych. Atakujący mogą usuwać członków zespołu, w tym właścicieli, rotować klucze API i zmieniać nazwy zespołów, wysyłając żądania do punktów końcowych PATCH /team/apiKey, PATCH /team/name i DELETE /team/member.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane działania administracyjne, takie jak usunięcie właściciela zespołu lub rotacja kluczy API, co może prowadzić do przejęcia kontroli nad zespołem i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację HyperDX do wersji z poprawką oraz wdrożenie ścisłej kontroli dostępu opartej na rolach. Należy również regularnie przeglądać uprawnienia członków zespołu.
Inne podatności w HyperDX
Zobacz wszystkie- CVE-2026-63731Wysokie
Podatność SSRF (Server-Side Request Forgery) w HyperDX przed wersją 2.31.0. Uwierzytelnieni członkowie zespołu mogą kierować serwer do dowolnych wewnętrznych miejsc poprzez podanie kontrolowanego parametru hosta w punkcie końcowym testu proxy ClickHouse, bez walidacji URL lub listy dozwolonych. Atakujący mogą wykorzystać odpowiedzi błędów do ujawnienia odpowiedzi wewnętrznych usług.
- CVE-2026-63730Średnie
HyperDX przed wersją 2.31.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Uwierzytelnieni członkowie zespołu mogą nakazać serwerowi wykonanie żądań do dowolnych wewnętrznych zasobów sieciowych, podając kontrolowany przez atakującego adres URL do punktu końcowego testowania webhooków. Atakujący mogą ominąć niewystarczającą walidację listy zablokowanych nazw hostów w obsłudze webhooków, aby skanować wewnętrzne usługi, komunikować się z wewnętrznymi kontenerami lub uzyskać dostęp do metadanych instancji chmury, w tym punktów końcowych dostawcy.
Oryginalny opis (angielski, źródło NVD)
HyperDX through 1.10.1 fails to enforce role-based access controls in team management endpoints, allowing any team member to perform administrative actions. Attackers can delete team members including owners, rotate API keys, and rename teams by sending requests to PATCH /team/apiKey, PATCH /team/name, and DELETE /team/member endpoints.