CVE-2026-8786

ŚrednieCVSS 6.3

Opublikowano: 18/05/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

W Tencent WeKnora do wersji 0.3.6 wykryto podatność w funkcji getKnowledgeBaseForInitialization w pliku internal/handler/initialization.go komponentu Config API Endpoint. Manipulacja argumentem kbId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Osoba atakująca zdalnie może uzyskać dostęp do zasobów bazy wiedzy bez wymaganej autoryzacji, co może prowadzić do wycieku lub modyfikacji danych. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania podatności.

Rekomendacja

Zaktualizuj Tencent WeKnora do wersji nowszej niż 0.3.6, gdy tylko będzie dostępna, a do tego czasu ogranicz dostęp sieciowy do Config API Endpoint. Monitoruj logi pod kątem nietypowych wywołań funkcji inicjalizacji z manipulowanym parametrem kbId.

Inne podatności w Tencent WeKnora

CVE-2026-108821Średnie
W systemie Tencent WeKnora do wersji 0.8.1 wykryto podatność w funkcji validateSubquery pliku internal/utils/inject.go w komponencie SQL Validator. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Tencent WeKnora up to 0.3.6. Affected by this issue is the function getKnowledgeBaseForInitialization of the file internal/handler/initialization.go of the component Config API Endpoint. The manipulation of the argument kbId leads to authorization bypass. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS