CVE-2023-31101
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Apache InLong w wersjach od 1.5.0 do 1.6.0 ma niezabezpieczoną domyślną inicjalizację zasobów, w wyniku czego użytkownicy zarejestrowani później mogą widzieć dane usuniętych użytkowników. Problem dotyczy widoczności danych po usunięciu konta.
Ocena ryzyka
Może dojść do nieautoryzowanego ujawnienia danych należących do usuniętych użytkowników, co narusza prywatność i może prowadzić do wycieku informacji. Ryzyko dotyczy organizacji korzystających z Apache InLong w wersjach 1.5.0–1.6.0.
Rekomendacja
Zaktualizuj Apache InLong do wersji 1.7.0 lub zastosuj odpowiednią poprawkę (cherry-pick PR #7836). Zweryfikuj, czy dane usuniętych użytkowników nie są dostępne dla nowych kont.
Inne podatności w Apache InLong
Zobacz wszystkie- CVE-2026-63039Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć wartość string do zapytania SQL, co umożliwia wykonanie nieautoryzowanych operacji na bazie danych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63038Krytyczne
Podatność typu SQL Injection w Apache InLong. Atakujący może wstrzyknąć dowolny kod SQL poprzez parametry dbName, tableName, schemaName oraz username. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63037Krytyczne
Podatność typu SQL Injection w Apache InLong. Umożliwia wstrzyknięcie SQL w klauzuli ORDER BY w bazie danych backendu Managera. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2023-35088Krytyczne
W podatności CVE-2023-35088 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL w Apache InLong, co może prowadzić do ataków typu SQL Injection. Problem dotyczy wersji od 1.4.0 do 1.7.0.
- CVE-2026-63046Wysokie
Podatność na wstrzykiwanie argumentów w Apache InLong. Moduł ModuleManager instalatora agenta wykonuje dowolne polecenia powłoki przez ExcuteLinux.exeCmd() bez filtrowania ani walidacji listy dozwolonych. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63044Średnie
Podatność SSRF w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu uwierzytelnionemu użytkownikowi (bez roli administratora) na spowodowanie, że serwer InLong Manager wykona wychodzące żądania HTTP lub połączenia TCP do dowolnych wewnętrznych hostów i portów.
- CVE-2026-63043Wysokie
Podatność typu Relative Path Traversal w Apache InLong (od 2.0.0 przed 2.4.0) pozwala na dowolny odczyt plików z systemu plików hosta Agent.
- CVE-2026-63042Wysokie
Podatność w Apache InLong (od 2.0.0 przed 2.4.0) pozwala każdemu użytkownikowi, który może uwierzytelnić się w menedżerze, na tworzenie, modyfikowanie i usuwanie definicji węzłów danych.
- CVE-2026-63040Wysokie
Podatność w Apache InLong umożliwia dostęp do plików lub katalogów podmiotom zewnętrznym. Komponent StreamSource nie przeprowadza kontroli autoryzacji, przez co każdy uwierzytelniony użytkownik może logicznie usunąć wszystkie źródła strumieniowe. Problem dotyczy wersji od 2.0.0 do 2.4.0.
- CVE-2026-63016Średnie
Podatność w Apache InLong dotyczy niekontrolowanego zużycia zasobów, co może pozwolić użytkownikom na wpływ na konfigurację operacyjną lub przesyłanie nieoficjalnych pakietów. Problem dotyczy wersji od 2.0.0 do przed 2.4.0.
Oryginalny opis (angielski, źródło NVD)
Insecure Default Initialization of Resource Vulnerability in Apache Software Foundation Apache InLong.This issue affects Apache InLong: from 1.5.0 through 1.6.0. Users registered in InLong who joined later can see deleted users' data. Users are advised to upgrade to Apache InLong's 1.7.0 or cherry-pick https://github.com/apache/inlong/pull/7836 https://github.com/apache/inlong/pull/7836 to solve it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS