CVE-2026-85260
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Apache Camel MLLP polega na zapisywaniu wrażliwych danych (treści komunikatów HL7, w tym danych pacjentów) do zwykłych logów aplikacji. Opcja logPhi domyślnie miała wartość true, a dodatkowo dwie ścieżki kodu logowały payload niezależnie od jej ustawienia. Problem dotyczy wersji Apache Camel od 4.0.0 do 4.18.5 oraz od 4.19.0 do 4.22.1.
Ocena ryzyka
Dane kliniczne pacjentów trafiają do logów aplikacji, gdzie podlegają ogólnym zasadom retencji, agregacji i dostępu, co może prowadzić do naruszenia poufności danych medycznych i wymogów regulacyjnych (np. RODO, HIPAA).
Rekomendacja
Zaktualizuj Apache Camel do wersji 4.23.0 lub odpowiednio do 4.18.5 (linia 4.18.x LTS) albo 4.22.1 (linia 4.22.x LTS). Jeśli aktualizacja nie jest możliwa natychmiast, ustaw logPhi=false i ogranicz dostęp do logów, pamiętając, że dwie ścieżki nadal będą logować payload do czasu wdrożenia poprawki.
Powiązane podatności
- CVE-2026-122051Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcjonalności pliku /goform/mp. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-54384Krytyczne
API chmurowe VitaFit w wersji przed 2026-10-30 zawierało podatność omijania uwierzytelniania, pozwalającą zdalnym atakującym uzyskać pełną sesję konta ofiary poprzez przesłanie identyfikatora powiązanego konta Google lub Facebook do punktu końcowego POST /front/login/sns/ bez dowodu własności od dostawcy tożsamości. Atakujący może sfałszować logowanie przy użyciu identyfikatora ujawnionego przez enumerację kont, aby odczytać i zmodyfikować profil ofiary oraz usunąć rekord uwierzytelniania konta.
- CVE-2026-52848Krytyczne
GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.8 nieuwierzytelniony użytkownik mógł użyć spreparowanego adresu URL, aby pominąć weryfikację hasła jednorazowego podczas logowania, obchodząc uwierzytelnianie dwuskładnikowe. Problem naprawiono w wersji 11.0.8.
- CVE-2026-115770Krytyczne
Pocket ID to dostawca OIDC umożliwiający logowanie za pomocą passkeys. W wersjach od 2.2.0 do 2.12.0 funkcja SendEmailVerification wiąże token weryfikacji e-mail tylko z identyfikatorem użytkownika, podczas gdy UpdateUser może zmienić adres e-mail bez unieważnienia tokenu, a VerifyEmail oznacza bieżący adres jako zweryfikowany. Zwykły użytkownik może zażądać tokenu dla kontrolowanego adresu, zmienić konto na dowolny nieużywany adres i wykorzystać stary token, aby Pocket ID opublikował nowy adres z email_verified ustawionym na true.
- CVE-2026-97693Krytyczne
Platforma Yuxi w wersjach od 0.6.0.beta1 do 0.7.1 ma niewystarczającą izolację między sandboxami Docker a zaufanymi usługami aplikacji. Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać dostęp do API sandboxów innych najemców, ich plików i sekretów, a także wykonywać polecenia i zarządzać sandboxami bez znajomości poświadczeń administratora.
- CVE-2026-57566Krytyczne
Czytnik ebooków Readest przed wersją 0.11.10 zawiera nieuwierzytelnioną trasę /api/opds/proxy, która pobiera kontrolowany przez atakującego URL po stronie serwera bez ograniczeń schematu, blokowania prywatnych i lokalnych adresów oraz ponownej walidacji przekierowań. Trasa akceptuje również nagłówki wychodzące i wartości Authorization od wywołującego oraz odzwierciedla status i treść odpowiedzi serwera źródłowego.
- CVE-2026-54378Krytyczne
API chmurowe VitaFit przed 2026-10-30 zawierało podatność polegającą na błędnej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać tymczasowe poświadczenia AWS poprzez wywołanie endpointu POST /front/user/s3/token/. Atakujący może użyć tych niewłaściwie ograniczonych poświadczeń do listowania współdzielonego bucketa i odczytu lub nadpisania plików innych użytkowników.
- CVE-2026-102895Krytyczne
GPUStack przed wersją 2.2.0 traktował żądania pochodzące z pętli zwrotnej jako pochodzące od wbudowanego administratora, gdy force_auth_localhost było wyłączone (domyślnie). Zdalne żądanie mogło wyglądać na pochodzące z 127.0.0.1, co pozwalało na nieuwierzytelniony dostęp administracyjny, w tym zmianę użytkowników i modeli, tworzenie trwałych kluczy API administratora, ujawnianie sekretów oraz wykonanie kodu.
- CVE-2026-102894Krytyczne
GPUStack w wersjach od 0.7.1 do 2.2.2 zawiera endpoint /auth/saml/callback, który dekoduje XML SAML i używa NameID oraz atrybutów do uwierzytelnienia lub utworzenia użytkownika bez weryfikacji podpisu, wystawcy, odbiorcy, miejsca docelowego ani warunków czasowych. Dowolny klient sieciowy może podszyć się pod istniejącego użytkownika, w tym administratora, lub utworzyć nowe konto, nawet gdy SAML nie jest skonfigurowany.
- CVE-2026-82418Krytyczne
IBM Watson Speech Services Cartridge w wersjach od 4.0.0 do 5.4.0 zawiera podatność use-after-free, która może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information into Log File vulnerability in Apache Camel MLLP component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. The camel-mllp component carries a logPhi option that governs whether HL7 payload content may be written to the log. It defaulted to true, so a deployment that did nothing logged protected health information out of the box. Two further paths wrote payload content to the log regardless of the setting, so even an operator who had turned logPhi off was still exposed on those paths. MLLP is used to carry HL7 clinical messages, so the content concerned is patient data, and it reached ordinary application logs where it is subject to whatever retention, aggregation and access the deployment applies to logs generally rather than to clinical records. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. logPhi now defaults to false and is honoured on the paths that previously ignored it. This is a changed default: a deployment that relied on payload logging must now set logPhi=true explicitly. Because the upgrade guide for a change like this lives on the main branch only, operators upgrading within the 4.18.x or 4.22.x lines should treat this advisory as the notice of that change. For deployments that cannot upgrade immediately, set logPhi=false and be aware that two paths will continue to log payload content until the fix is applied; restrict access to the logs accordingly.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS