CVE-2025-61733

Apache Kylin ujawnia wrażliwe informacje (konfigurację na poziomie systemu) nieuprawnionemu podmiotowi. Podatność występuje w wersjach od 4 do 5.0.4.

Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

W Apache Kylin występuje podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony użytkownik może uzyskać dostęp do akcji czyszczenia systemu. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność polegająca na obejściu uwierzytelniania w sieci wewnętrznej. Problem dotyczy wersji od 4.0.4 do 5.0.4.

W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.

W Apache Kylin występuje podatność deserializacji niezaufanych danych. Niebezpieczna deserializacja Java może wystąpić w wyniku awarii zewnętrznej usługi cache. Problem dotyczy wersji od 4 do 5.0.4.

W Apache Kylin występuje podatność braku autoryzacji. Backendowe API zrzutu metadanych nie wymaga wystarczającej autoryzacji ani ograniczenia ścieżek. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.

W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.

W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.

Podatność dotycząca plików lub katalogów dostępnych dla zewnętrznych podmiotów w Apache Kylin. Problem występuje, gdy dostęp administratora systemu i projektu Kylin nie jest dobrze chroniony. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.