CVE-2025-64744
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
OpenObserve w wersjach do 0.16.1 włącznie renderuje znaczniki HTML w nazwie organizacji wewnątrz szablonu e-maila z zaproszeniem, co wskazuje na brak prawidłowego escapowania danych kontrolowanych przez użytkownika. W momencie publikacji nie są dostępne żadne wersje z poprawką.
Ocena ryzyka
Możliwe jest wstrzyknięcie HTML do wiadomości e-mail wysyłanych do zapraszanych użytkowników, co może być wykorzystane do phishingu lub innych ataków socjotechnicznych.
Rekomendacja
Ogranicz możliwość tworzenia lub zmiany nazw organizacji z zawartością HTML oraz monitoruj dostępne aktualizacje OpenObserve, ponieważ obecnie brak jest wersji z poprawką.
Inne podatności w OpenObserve
Zobacz wszystkie- CVE-2026-63645Wysokie
OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.
- CVE-2026-39361Wysokie
OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.
- CVE-2025-66223Wysokie
OpenObserve przed wersją 0.16.0 nie wygasza tokenów zaproszeń do organizacji, które pozostają ważne nawet po usunięciu zaproszonego użytkownika i pozwalają na wiele zaproszeń na ten sam e-mail z różnymi rolami. Prowadzi to do złamania kontroli dostępu, gdzie usunięty lub zdegradowany użytkownik może odzyskać dostęp lub eskalować uprawnienia. Problem naprawiono w wersji 0.16.0.
Oryginalny opis (angielski, źródło NVD)
OpenObserve is a cloud-native observability platform. In versions up to and including 0.16.1, when creating or renaming an organization with HTML in the name, the markup is rendered inside the invitation email. This indicates that user-controlled input is inserted into the email template without proper HTML escaping. As of time of publication, no patched versions are available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS