CVE-2026-85514

ŚrednieCVSS 6.3

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wykryto podatność w StackStorm st2 do wersji 3.9.0 w funkcji obsługi kluczy API (API Key Handler) w pliku auth.py. Manipulacja argumentem api_key_api.user prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Ryzyko nieautoryzowanego dostępu i eskalacji uprawnień w systemie StackStorm, co może prowadzić do przejęcia kontroli nad automatyzacją i danymi.

Rekomendacja

Zaleca się natychmiastowe zaktualizowanie StackStorm do najnowszej dostępnej wersji, jeśli to możliwe, oraz monitorowanie publicznych informacji o poprawce. Ograniczyć dostęp do API tylko dla zaufanych sieci.

Inne podatności w StackStorm

CVE-2026-85513Średnie
Podatność w StackStorm st2 do wersji 3.9.0 dotyczy funkcji assert_user_is_admin_if_user_query_param_is_provided w pliku actionexecutions.py, w komponencie NoOp RBAC. Manipulacja argumentem User prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Problem dotyczy domyślnej instalacji z wyłączonym RBAC i nie wymaga Jinja RBAC.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in StackStorm st2 up to 3.9.0. Impacted is an unknown function of the file st2api/st2api/controllers/v1/auth.py of the component API Key Handler. Such manipulation of the argument api_key_api.user leads to improper privilege management. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS