CVE-2026-84713
ŚrednieCVSS 6.5Streszczenie
W podsystemie powiadomień automation-controller występuje luka, w której wartość odbiorcy z NotificationTemplate.notification_configuration jest kopiowana jawnym tekstem do niezabezpieczonego pola Notification.recipients przy każdym wysłaniu. Ponieważ endpoint credential-types jest dostępny dla każdego uwierzytelnionego użytkownika, a backend filtrów API przechodzi przez relacje obiektów bez autoryzacji na każdym poziomie, użytkownik bez uprawnień może użyć filtra relacyjnego jako oracle'a typu boolean do odzyskania znak po znaku sekretnych wartości odbiorców powiadomień innych najemców, w tym kluczy usług PagerDuty oraz adresów URL z tokenami bearer dla Slack, Mattermost, RocketChat i Webhook. Luka wpływa na poufność.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może wykraść sekretne klucze i tokeny integracji powiadomień innych organizacji, co umożliwia podszycie się pod usługi i dalsze ataki. Stanowi to poważne naruszenie poufności danych między najemcami.
Rekomendacja
Zaktualizuj automation-controller do wersji zawierającej poprawkę, która nie kopiuje jawnych wartości odbiorców do niezabezpieczonego pola i egzekwuje autoryzację na każdym poziomie relacji w filtrach API. Rozważ rotację ujawnionych kluczy PagerDuty oraz tokenów Slack/Mattermost/RocketChat/Webhook.
Inne podatności w automation-controller
Zobacz wszystkie- CVE-2026-84716Średnie
W endpointcie install-bundle kontrolera automatyzacji (automation-controller) występuje błąd walidacji nazwy hosta. Administrator systemu może zarejestrować wariant wielkości liter istniejącej nazwy hosta węzła kontrolnego i uzyskać certyfikat X.509 podpisany przez CA mesha receptor, ważny dziesięć lat, bez dziennika wydania i listy odwołań. Ponieważ walidator znaków jest niewrażliwy na wielkość liter, a walidator unikalności jest wrażliwy, certyfikat jest akceptowany przez peery TLS jako certyfikat węzła kontrolnego.
- CVE-2026-84712Średnie
W API automation-controller nieuwierzytelniony endpoint health-check /api/v2/ping/ (ApiV2PingView, AllowAny) nadmiernie serializuje dane automation-mesh chronione przez RBAC do anonimowej odpowiedzi, ujawniając pełny inwentarz instancji (nazwy hostów węzłów, typy węzłów, UUID, heartbeaty, pojemności i dokładne wersje), wszystkie nazwy i członkostwo grup instancji, UUID instalacji wdrożenia oraz aktywny węzeł kontrolny. Zdalny, nieuwierzytelniony atakujący może to wykorzystać do mapowania płaszczyzny kontrolnej i fingerprintingu wersji oprogramowania w celu ukierunkowanych ataków. Luka wpływa wyłącznie na poufność; nie ujawnia sekretów, poświadczeń ani danych najemców.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the automation-controller notification subsystem. Although NotificationTemplate.notification_ configuration is protected from API filtering, its recipient value is copied in clear text into the unprotected Notification.recipients field on every send. Because the credential-types endpoint is listable by any authenticated user and the API filter backend traverses object relations without per-hop authorization, a user with no privileges can use a relational filter as a boolean count-oracle to recover, character by character and across organizations, the secret recipient values of other tenants' notifications — including PagerDuty service keys and Slack/Mattermost/RocketChat/Webhook bearer-token URLs. This flaw affects confidentiality.