CVE-2026-8634
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w Crabbox przed wersją 0.12.0 umożliwia wyciek zmiennych środowiskowych, takich jak tokeny API, dane uwierzytelniające do chmury i tokeny brokera, do zdalnego środowiska poleceń. Atakujący z dostępem do złośliwego lub skompromitowanego repozytorium mogą wykorzystać zbyt liberalne reguły dozwalania zmiennych środowiskowych w lokalnej konfiguracji repozytorium Crabbox.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu wrażliwych danych uwierzytelniających organizacji, co może prowadzić do przejęcia kont, kradzieży danych lub dalszych ataków na infrastrukturę chmurową i systemy brokerskie.
Rekomendacja
Należy natychmiast zaktualizować Crabbox do wersji 0.12.0 lub nowszej oraz przejrzeć i zaostrzyć reguły dozwalania zmiennych środowiskowych w konfiguracjach repozytoriów, aby ograniczyć dostęp tylko do niezbędnych zmiennych.
Inne podatności w Crabbox
Zobacz wszystkie- CVE-2026-8629Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia eskalację uprawnień użytkownikom z dostępem tylko do odczytu. Atakujący mogą wysyłać żądania POST do endpointów ticketów, aby uzyskać bilety agentów Code, WebVNC i Egress, co pozwala na podszywanie się pod zaufane mosty.
- CVE-2026-8621Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia ominięcie uwierzytelniania. Osoby posiadające token współdzielony mogą podszyć się pod innych właścicieli lub organizacje poprzez fałszowanie nagłówków tożsamości.
- CVE-2026-45224Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na przechodzenie poza katalog (path traversal) w dostawcy Islo podczas rozwiązywania ścieżki obszaru roboczego. Atakujący może dostarczyć absolutne lub względne ścieżki, które wychodzą poza zamierzony katalog /workspace.
- CVE-2026-45223Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na pominięcie uwierzytelniania w ścieżce weryfikacji tokena użytkownika koordynatora. Funkcja verifyUserToken() nie odrzuca ładunków zawierających deklarację admin, co umożliwia atakującym eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
Crabbox prior to v0.12.0 contains an environment variable exposure vulnerability that allows attackers with access to a malicious or compromised repository to forward local secrets such as API tokens, cloud credentials, and broker tokens into the remote command environment. Attackers can exploit overly permissive environment variable allowlisting in repo-local Crabbox configuration to serialize sensitive environment variables into remote command execution, exposing credentials to the remote environment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS