CVE-2026-92778

ŚrednieCVSS 5.4

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

CMAK do wersji 3.0.0.6 włącznie nie stosuje przełącznika funkcji planowanego wyboru lidera do tras formularzy HTML, co pozwala atakującym obejść bramkę funkcji. Atakujący może uzyskać dostęp do endpointów formularzy, aby uruchomić i zatrzymać cykliczny harmonogram wyborów, zakłócając przywództwo w zarządzanych klastrach Kafka.

Ocena ryzyka

Zakłócenie wyboru lidera w klastrach Kafka może prowadzić do niedostępności usług i utraty danych. Osoba bez uprawnień administracyjnych może wpływać na krytyczną infrastrukturę przetwarzania strumieniowego.

Rekomendacja

Zaktualizuj CMAK do wersji nowszej niż 3.0.0.6. Ogranicz dostęp do interfejsu CMAK i zabezpiecz endpointy formularzy uwierzytelnianiem oraz autoryzacją.

Inne podatności w CMAK

CVE-2026-92751Wysokie
CMAK do wersji 3.0.0.6 nie instaluje filtra ochrony przed cross-site request forgery, pozwalając atakującym wykonywać akcje zmieniające stan w imieniu uwierzytelnionych operatorów. Atakujący mogą tworzyć ukryte formularze wysyłane do destrukcyjnych punktów końcowych, takich jak usuwanie tematów i zmiany konfiguracji klastra, wykorzystując poświadczenia HTTP Basic operatora lub cookie play-basic-authentication bez ochrony SameSite.

Oryginalny opis (angielski, źródło NVD)

CMAK through 3.0.0.6 fails to apply the scheduled leader election feature toggle to HTML form routes, allowing attackers to bypass the feature gate. Attackers can access the form endpoints to start and stop the recurring election scheduler, disrupting leadership across managed Kafka clusters.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS