CVE-2022-30034

WysokieCVSS 8.6

Opublikowano: 02/06/2022(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.00%

Percentyl 59 - wyżej niż 59% wszystkich znanych CVE

Streszczenie

Podatność w narzędziu Flower, interfejsie webowym dla frameworka Celery, umożliwia ominięcie uwierzytelniania OAuth. Atakujący może uzyskać dostęp do API Flower i wykonywać dowolne wywołania RPC Celery lub zatrzymać węzły zadań, powodując odmowę usługi.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do systemu kolejkowania zadań, co może prowadzić do wykonania niepożądanych operacji lub przerwania krytycznych procesów biznesowych.

Rekomendacja

Należy natychmiast zaktualizować Flower do najnowszej wersji zawierającej poprawkę bezpieczeństwa. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsu Flower tylko do zaufanych sieci.

Inne podatności w Flower

CVE-2022-51020Średnie
Flower przed wersją 2.2.0 zawiera podatność cross-site request forgery, ponieważ mechanizm Tornado xsrf_cookies jest wyłączony, a ciasteczko sesji OAuth nie ma atrybutu SameSite. Atakujący mogą zwabić uwierzytelnionych użytkowników na złośliwe strony wysyłające żądania POST do /api/worker/shutdown, /api/worker/pool/restart lub /api/task/revoke, aby wyłączyć workery Celery, zmienić rozmiar puli i unieważnić zadania.

Oryginalny opis (angielski, źródło NVD)

Flower, a web UI for the Celery Python RPC framework, all versions as of 05-02-2022 is vulnerable to an OAuth authentication bypass. An attacker could then access the Flower API to discover and invoke arbitrary Celery RPC calls or deny service by shutting down Celery task nodes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS