CVE-2026-90454

ŚrednieCVSS 4.3

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Tryb wdrożenia mający na celu udostępnienie wyłącznie dostępu do odczytu interfejsu wbudowanego komponentu analizy pakietów blokuje listę tras z możliwością zapisu według wzorca, ale wzorzec pomija trasy modyfikujące tagi dołączone do przechowywanych rekordów sesji. Konfiguracja proxy w inny sposób zezwala na metodę żądania używaną przez te trasy.

Ocena ryzyka

Uwierzytelniony użytkownik we wdrożeniu przeznaczonym tylko do odczytu może dodawać lub usuwać tagi na przechowywanych rekordach sesji. Narusza to integralność danych analitycznych i może prowadzić do błędnych wniosków.

Rekomendacja

Zaktualizuj oprogramowanie do wersji poprawiającej wzorzec blokowania tras lub ogranicz metodę żądania na poziomie proxy. Zweryfikuj integralność tagów w przechowywanych rekordach sesji.

Inne podatności w Packet-analysis component

CVE-2026-90451Średnie
Przykładowy plik konfiguracyjny środowiska zawiera stałą, publicznie znaną wartość sekretu używaną do podpisywania ciasteczek uwierzytelniających dla dołączonego komponentu analizy pakietów. Wdrożenie, które skopiuje ten przykładowy plik do aktywnej konfiguracji bez uruchomienia procedury konfiguracyjnej regenerującej wartość, będzie używać znanej domyślnej wartości.

Oryginalny opis (angielski, źródło NVD)

A deployment mode intended to expose only read access to a bundled packet-analysis component's interface denies a list of write-capable routes by pattern, but the pattern omits routes that modify tags attached to stored session records, and the proxy configuration otherwise permits the request method those routes use. This allows an authenticated user on a deployment intended to be read-only to add or remove tags on stored session records.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS