CVE-2026-105030

ŚrednieCVSS 5.3

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Kener w wersji od 4.0.0 do 4.1.6 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym pobrać dane ukrytych lub nieaktywnych monitorów poprzez odpytywanie handlerów API dashboardu pozbawionych filtrów widoczności. Atakujący może podać znany lub odgadnięty tag monitora do endpointów takich jak monitor-bar i monitor-latency-chart, aby uzyskać nazwy, opisy, status, historię dostępności i opóźnienia.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do wewnętrznych danych monitoringu, które powinny być ukryte, co może ujawnić informacje o infrastrukturze organizacji. Może to ułatwić dalsze ataki rozpoznawcze.

Rekomendacja

Zaktualizuj Kener do wersji 4.1.6 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointów API dashboardu.

Inne podatności w Kener

CVE-2026-116747Wysokie
Kener w wersjach od 3.0.0 do 4.1.10 zawiera podatność polegającą na obejściu uwierzytelniania. Gdy zmienna KENER_SECRET_KEY jest pusta lub nieustawiona, atakujący może sfałszować tokeny sesji przy użyciu zapasowego klucza DUMMY_SECRET, a znając adres e-mail administratora — podpisać cookie kener-user i uzyskać pełny dostęp administracyjny do /manage/api lub sfałszować tokeny resetowania hasła.

Oryginalny opis (angielski, źródło NVD)

Kener 4.0.0 before 4.1.6 contains an information disclosure vulnerability that allows unauthenticated attackers to retrieve hidden or inactive monitor data by querying dashboard API handlers lacking visibility filters. Attackers can supply a known or guessed monitor tag to endpoints such as monitor-bar and monitor-latency-chart to obtain names, descriptions, status, uptime history and latency.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS