CVE-2026-8338
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Coverity Connect w wersjach od 2023.6.0 do 2026.3.0 występuje podatność w Spring Security umożliwiająca ominięcie uwierzytelniania i autoryzacji. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie HTTP, aby uzyskać dostęp do danych w Coverity.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych przechowywanych w Coverity, co narusza poufność i integralność informacji.
Rekomendacja
Zaktualizuj Coverity Connect do wersji nowszej niż 2026.3.0, która zawiera poprawkę zabezpieczającą.
Inne podatności w Coverity Connect
Zobacz wszystkie- CVE-2026-1496Krytyczne
Podatność w Coverity Connect polega na braku obsługi błędów w logice uwierzytelniania dla narzędzi wiersza poleceń, co umożliwia obejście uwierzytelniania. Osoba atakująca z dostępem do punktu końcowego /token, znająca lub zgadująca prawidłową nazwę użytkownika, może użyć specjalnie spreparowanego żądania HTTP, aby ominąć uwierzytelnianie i przejąć wszystkie role i uprawnienia konta użytkownika.
- CVE-2026-8339Wysokie
Podatność SQL Injection w Coverity Connect SOAP API dla wersji od 2024.6.0 do 2026.3.0. Uwierzytelniony atakujący może wysłać spreparowany ładunek, uzyskując pełny odczyt bazy danych i wykonanie nieautoryzowanych poleceń.
Oryginalny opis (angielski, źródło NVD)
A Spring Security authentication and authorization bypass exists in Coverity Connect versions between 2023.6.0 and 2026.3.0. An unauthenticated malicious threat actor that can send a specially crafted HTTP request is able to bypass authentication and authorization controls on certain API endpoints to access data within Coverity.