CVE-2026-92751

WysokieCVSS 8.1

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

CMAK do wersji 3.0.0.6 nie instaluje filtra ochrony przed cross-site request forgery, pozwalając atakującym wykonywać akcje zmieniające stan w imieniu uwierzytelnionych operatorów. Atakujący mogą tworzyć ukryte formularze wysyłane do destrukcyjnych punktów końcowych, takich jak usuwanie tematów i zmiany konfiguracji klastra, wykorzystując poświadczenia HTTP Basic operatora lub cookie play-basic-authentication bez ochrony SameSite.

Ocena ryzyka

Atakujący może doprowadzić do usunięcia tematów i zmiany konfiguracji klastra Kafka, powodując utratę danych i zakłócenia w działaniu systemów.

Rekomendacja

Zaktualizuj CMAK do wersji zawierającej filtr CSRF, a do czasu aktualizacji ogranicz dostęp do konsoli i rozważ wdrożenie ochrony SameSite dla plików cookie.

Inne podatności w CMAK

CVE-2026-92778Średnie
CMAK do wersji 3.0.0.6 włącznie nie stosuje przełącznika funkcji planowanego wyboru lidera do tras formularzy HTML, co pozwala atakującym obejść bramkę funkcji. Atakujący może uzyskać dostęp do endpointów formularzy, aby uruchomić i zatrzymać cykliczny harmonogram wyborów, zakłócając przywództwo w zarządzanych klastrach Kafka.

Oryginalny opis (angielski, źródło NVD)

CMAK through 3.0.0.6 fails to install a cross-site request forgery filter, allowing attackers to perform state-changing actions on behalf of authenticated operators. Attackers can craft hidden forms that submit to destructive endpoints like topic deletion and cluster configuration changes, leveraging the operator's HTTP Basic authentication credentials or play-basic-authentication cookie without SameSite protection.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS