CVE-2026-97056
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
SigNoz w wersjach od v0.98.0 do v0.143.0, gdy skonfigurowany z nieprzezroczystym tokenizatorem sesji, nie odwołuje istniejących sesji logowania użytkownika po zresetowaniu hasła z tokenem resetowania lub po usunięciu użytkownika. Atakujący, który już posiada token sesji, zachowuje pełny dostęp do konta, aż do administratora, po zresetowaniu hasła przez maksymalny czas życia tokena (domyślnie 30 dni) i po usunięciu użytkownika do następnej rotacji tokena (domyślnie 30 minut).
Ocena ryzyka
Resetowanie hasła lub usuwanie użytkownika nie kończy dostępu, co pozwala atakującemu na długotrwały nieautoryzowany dostęp do konta i potencjalnie do danych wrażliwych.
Rekomendacja
Zaktualizuj SigNoz do wersji v0.143.0 lub nowszej. Po zresetowaniu hasła lub usunięciu użytkownika ręcznie odwołaj wszystkie tokeny sesji.
Inne podatności w SigNoz
Zobacz wszystkie- CVE-2026-97055Wysokie
SigNoz w wersjach od 0.8.0 przed 0.143.0 domyślnie ustawia sekret podpisywania tokenów JWT na pusty ciąg znaków, a walidacja konfiguracji nie odrzuca pustej wartości. Wdrożenie bez skonfigurowanego sekretu podpisuje i weryfikuje tokeny sesji pustym kluczem HMAC, co pozwala nieuwierzytelnionemu atakującemu sfałszować token sesji dla dowolnego użytkownika, w tym administratora.
- CVE-2026-93426Wysokie
SigNoz w wersjach od 0.87.0 do przed 0.142.0 nie zabezpiecza nazw pól telemetrycznych dostarczanych przez użytkownika w API v5 query_range, co pozwala uwierzytelnionym użytkownikom na wstrzyknięcie SQL. Atakujący z rolą Viewer lub wyższą mogą osadzić backticki i cudzysłowy w nazwach pól, aby wyrwać się z identyfikatorów i literałów łańcuchowych, wykonując dowolny SQL ClickHouse w celu odczytania tabel systemowych i eksfiltracji danych.
- CVE-2026-93292Wysokie
SigNoz w wersjach od 0.88.0 przed 0.142.1 zawiera podatność wstrzyknięcia SQL w endpointach analityki trace-funnel, które wstawiają pola service_name i span_name do literałów tekstowych ClickHouse bez escapowania. Uwierzytelniony atakujący może wstrzyknąć SQL poprzez definicje kroków lejka, aby wykonać dowolne zapytania i odczytać wyniki w odpowiedziach HTTP.
- CVE-2026-92729Wysokie
SigNoz w wersjach od 0.88.0 do 0.141.0 nie stosuje wrapperów autoryzacyjnych do punktów końcowych analityki trace-funnel w handlerze HTTP. Nieuwierzytelnieni atakujący mogą przesyłać dowolne definicje lejków, aby uzyskać analitykę śledzenia, w tym identyfikatory, czasy trwania, liczby spanów, topologię usług i aktywność błędów, bez poświadczeń.
- CVE-2026-63094Wysokie
Podatność open redirect w SigNoz przed wersją 0.134.0 w przepływie uwierzytelniania SSO. Nieuwierzytelniony atakujący może ukraść tokeny sesji od użytkowników w instancjach skonfigurowanych z Google OAuth, SAML lub OIDC.
- CVE-2026-57956Średnie
Podatność w SigNoz przed wersją 0.133.0 umożliwia uwierzytelnionym użytkownikom dostęp do reguł alertów innych organizacji poprzez podanie docelowego UUID reguły. Brak filtrowania po identyfikatorze organizacji w magazynie reguł alertów powoduje obejście kontroli dostępu.
- CVE-2026-57955Wysokie
Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).
Oryginalny opis (angielski, źródło NVD)
SigNoz versions from v0.98.0 up to (but not including) v0.143.0, when configured to use the opaque session tokenizer (which was not the default before v0.143.0), do not revoke a user's existing login sessions when the user's password is reset with a reset token (UpdatePasswordByResetPasswordToken, reachable via POST /api/v2/factor_password/reset) or when the user is deleted (DeleteUser, reachable via DELETE /api/v2/users/{id}). Neither code path calls the tokenizer's DeleteTokensByUserID, so cached tokens and identities are left in place. An attacker who already holds a session token for the account — for example from a stolen browser session or from a user being offboarded — retains the account's full access, up to administrator, after a password reset until the token reaches its configured maximum lifetime (30 days by default), and after user deletion until the token next rotates (30 minutes by default). This defeats password reset and user deletion as a means of terminating access. The issue is fixed in v0.143.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS