Podatności stigmem
3 znanych podatności CVE w stigmem, przetłumaczonych i ocenionych.
- CVE-2026-76243Krytyczne
Wersje stigmem przed 0.9.0a2 pozwalają na nieuwierzytelniony dostęp, gdy uwierzytelnianie jest wyłączone na wdrożeniach innych niż loopback. Atakujący mogą wykonywać operacje odczytu, zapisu i federacji z anonimową tożsamością, gdy węzły są wystawione poza lokalne środowiska deweloperskie.
- CVE-2026-76239Średnie
Stigmem przed wersją 0.9.0a11 nie waliduje parametru delivery_address podczas tworzenia subskrypcji webhook, co pozwala uwierzytelnionym użytkownikom na określenie wewnętrznych adresów loopback i prywatnych sieci. Atakujący mogą wywołać zdarzenia zmiany faktów, aby serwer Stigmem wysyłał żądania HTTP POST do wewnętrznych usług, umożliwiając ataki SSRF na localhost i prywatne endpointy.
- CVE-2026-76238Wysokie
stigmem przed wersją 0.9.0a12 zawiera podatność na złamanie autoryzacji na poziomie obiektu w punkcie końcowym decay sweep, która pozwala uwierzytelnionym atakującym z poświadczeniami zapisu dla jednego dzierżawcy na wykonywanie operacji decay wpływających na wszystkich dzierżawców. Atakujący mogą wysyłać żądania POST z ttl_seconds=0, aby wygaszać fakty we wszystkich dzierżawcach, lub użyć dry_run do uzyskania informacji o faktach i ich istnieniu między dzierżawcami.