CVE-2026-8621
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Crabbox przed wersją 0.12.0 umożliwia ominięcie uwierzytelniania. Osoby posiadające token współdzielony mogą podszyć się pod innych właścicieli lub organizacje poprzez fałszowanie nagłówków tożsamości.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do operacji dzierżawy należących do ofiary, co prowadzi do naruszenia poufności i integralności danych oraz potencjalnej kradzieży zasobów.
Rekomendacja
Należy niezwłocznie zaktualizować Crabbox do wersji 0.12.0 lub nowszej. Do czasu aktualizacji zaleca się ograniczenie zaufania do tokenów współdzielonych i wdrożenie dodatkowej walidacji nagłówków.
Inne podatności w Crabbox
Zobacz wszystkie- CVE-2026-8634Krytyczne
Podatność w Crabbox przed wersją 0.12.0 umożliwia wyciek zmiennych środowiskowych, takich jak tokeny API, dane uwierzytelniające do chmury i tokeny brokera, do zdalnego środowiska poleceń. Atakujący z dostępem do złośliwego lub skompromitowanego repozytorium mogą wykorzystać zbyt liberalne reguły dozwalania zmiennych środowiskowych w lokalnej konfiguracji repozytorium Crabbox.
- CVE-2026-8629Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia eskalację uprawnień użytkownikom z dostępem tylko do odczytu. Atakujący mogą wysyłać żądania POST do endpointów ticketów, aby uzyskać bilety agentów Code, WebVNC i Egress, co pozwala na podszywanie się pod zaufane mosty.
- CVE-2026-45224Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na przechodzenie poza katalog (path traversal) w dostawcy Islo podczas rozwiązywania ścieżki obszaru roboczego. Atakujący może dostarczyć absolutne lub względne ścieżki, które wychodzą poza zamierzony katalog /workspace.
- CVE-2026-45223Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na pominięcie uwierzytelniania w ścieżce weryfikacji tokena użytkownika koordynatora. Funkcja verifyUserToken() nie odrzuca ładunków zawierających deklarację admin, co umożliwia atakującym eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
Crabbox prior to v0.12.0 contains an authentication bypass vulnerability that allows non-admin shared-token callers to impersonate other owners or organizations by spoofing identity headers. Attackers can inject malicious X-Crabbox-Owner and X-Crabbox-Org headers in requests authenticated with a shared token to bypass authorization checks and access owner/org-scoped lease operations belonging to victim accounts.