CVE-2026-8634
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w Crabbox przed wersją 0.12.0 umożliwia wyciek zmiennych środowiskowych, takich jak tokeny API, dane uwierzytelniające do chmury i tokeny brokera, do zdalnego środowiska poleceń. Atakujący z dostępem do złośliwego lub skompromitowanego repozytorium mogą wykorzystać zbyt liberalne reguły dozwalania zmiennych środowiskowych w lokalnej konfiguracji repozytorium Crabbox.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu wrażliwych danych uwierzytelniających organizacji, co może prowadzić do przejęcia kont, kradzieży danych lub dalszych ataków na infrastrukturę chmurową i systemy brokerskie.
Rekomendacja
Należy natychmiast zaktualizować Crabbox do wersji 0.12.0 lub nowszej oraz przejrzeć i zaostrzyć reguły dozwalania zmiennych środowiskowych w konfiguracjach repozytoriów, aby ograniczyć dostęp tylko do niezbędnych zmiennych.
Oryginalny opis (angielski, źródło NVD)
Crabbox prior to v0.12.0 contains an environment variable exposure vulnerability that allows attackers with access to a malicious or compromised repository to forward local secrets such as API tokens, cloud credentials, and broker tokens into the remote command environment. Attackers can exploit overly permissive environment variable allowlisting in repo-local Crabbox configuration to serialize sensitive environment variables into remote command execution, exposing credentials to the remote environment.