CVE-2025-61735
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Podatność Server-Side Request Forgery (SSRF) w Apache Kylin. Problem dotyczy Apache Kylin od wersji 4.0.0 do 5.0.2. Jesteś bezpieczny, jeśli dostęp administratora systemu i projektu Kylin jest dobrze chroniony. Zaleca się aktualizację do wersji 5.0.3, która naprawia problem.
Ocena ryzyka
Atakujący może wykorzystać podatność do wysyłania żądań z serwera Kylin do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia wrażliwych informacji lub ataków na inne systemy. Ryzyko jest ograniczone, jeśli dostęp administracyjny jest dobrze zabezpieczony.
Rekomendacja
Należy zaktualizować Apache Kylin do wersji 5.0.3, która zawiera poprawkę. Należy również upewnić się, że dostęp do systemu i projektu Kylin jest odpowiednio chroniony i ograniczony.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-63618Wysokie
Apache Kylin ujawnia wrażliwe informacje (konfigurację na poziomie systemu) nieuprawnionemu podmiotowi. Podatność występuje w wersjach od 4 do 5.0.4.
- CVE-2026-108771Krytyczne
Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-68573Krytyczne
W Apache Kylin występuje podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony użytkownik może uzyskać dostęp do akcji czyszczenia systemu. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-108709Krytyczne
W Apache Kylin występuje podatność polegająca na obejściu uwierzytelniania w sieci wewnętrznej. Problem dotyczy wersji od 4.0.4 do 5.0.4.
- CVE-2026-64959Krytyczne
W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-64610Krytyczne
W Apache Kylin występuje podatność deserializacji niezaufanych danych. Niebezpieczna deserializacja Java może wystąpić w wyniku awarii zewnętrznej usługi cache. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-63619Krytyczne
W Apache Kylin występuje podatność braku autoryzacji. Backendowe API zrzutu metadanych nie wymaga wystarczającej autoryzacji ani ograniczenia ścieżek. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-62392Krytyczne
W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.
- CVE-2026-62390Krytyczne
W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.
- CVE-2025-61734Wysokie
Podatność dotycząca plików lub katalogów dostępnych dla zewnętrznych podmiotów w Apache Kylin. Problem występuje, gdy dostęp administratora systemu i projektu Kylin nie jest dobrze chroniony. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.
Oryginalny opis (angielski, źródło NVD)
Server-Side Request Forgery (SSRF) vulnerability in Apache Kylin. This issue affects Apache Kylin: from 4.0.0 through 5.0.2. You are fine as long as the Kylin's system and project admin access is well protected. Users are recommended to upgrade to version 5.0.3, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS