CVE-2026-96762
WysokieCVSS 7.3Streszczenie
W projekcie kvcache-ai mooncake w wersjach do 0.3.12/0.3.13.post1 wykryto podatność w funkcji UnmountSegment komponentu RPC Path Handler. Manipulacja argumentami client_id/segment_id prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może obejść mechanizmy autoryzacji i wykonać nieuprawnione operacje na segmentach, co może prowadzić do naruszenia integralności danych lub odmowy usługi.
Rekomendacja
Zaktualizuj mooncake do wersji nowszej niż 0.3.13.post1, a do czasu wydania poprawki ogranicz dostęp do ścieżki RPC do zaufanych klientów.
Inne podatności w mooncake
Zobacz wszystkie- CVE-2026-96764Średnie
W produkcie kvcache-ai mooncake do wersji 0.3.12/0.3.14-rc1 wykryto podatność w funkcji MasterService::GetReplicaListByRegex. Wykonanie manipulacji prowadzi do alokacji zasobów. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-96763Średnie
W produkcie kvcache-ai mooncake do wersji 0.3.12/0.3.13.post1/0.3.14-rc1 wykryto podatność w funkcji ScopedSegmentAccess::MountSegment. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in kvcache-ai mooncake up to 0.3.12/0.3.13.post1. This affects the function UnmountSegment of the component RPC Path Handler. This manipulation of the argument client_id/segment_id causes authorization bypass. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.