CVE-2026-108743
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 63 - wyżej niż 63% wszystkich znanych CVE
Streszczenie
W Apache Kylin występuje podatność typu OS Command Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach systemu operacyjnego. Problem dotyczy wersji od 4.0.4 do 5.0.4.
Ocena ryzyka
Największe ryzyko dotyczy usług Kylin bezpośrednio wystawionych do sieci publicznej; wdrożenia wewnętrzne są w większości niezagrożone. Podatność może pozwolić na wykonanie dowolnych poleceń w systemie.
Rekomendacja
Zaleca się aktualizację Apache Kylin do wersji 5.0.5, która naprawia tę podatność.
Inne podatności w Apache Kylin
Zobacz wszystkie- CVE-2026-63618Wysokie
Apache Kylin ujawnia wrażliwe informacje (konfigurację na poziomie systemu) nieuprawnionemu podmiotowi. Podatność występuje w wersjach od 4 do 5.0.4.
- CVE-2026-108771Krytyczne
Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.
- CVE-2026-68573Krytyczne
W Apache Kylin występuje podatność nieprawidłowego uwierzytelniania. Nieuwierzytelniony użytkownik może uzyskać dostęp do akcji czyszczenia systemu. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-108709Krytyczne
W Apache Kylin występuje podatność polegająca na obejściu uwierzytelniania w sieci wewnętrznej. Problem dotyczy wersji od 4.0.4 do 5.0.4.
- CVE-2026-64959Krytyczne
W Apache Kylin występuje podatność SQL Injection połączona z brakiem uwierzytelniania dla krytycznej funkcji. Niektóre backendowe API cache nie wymaga uwierzytelnienia i może doprowadzić do wykonania wstrzykniętego SQL. Problem dotyczy wersji od 5 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-64610Krytyczne
W Apache Kylin występuje podatność deserializacji niezaufanych danych. Niebezpieczna deserializacja Java może wystąpić w wyniku awarii zewnętrznej usługi cache. Problem dotyczy wersji od 4 do 5.0.4.
- CVE-2026-63619Krytyczne
W Apache Kylin występuje podatność braku autoryzacji. Backendowe API zrzutu metadanych nie wymaga wystarczającej autoryzacji ani ograniczenia ścieżek. Problem dotyczy wersji od 4 do 5.0.4 i najbardziej wpływa na usługi Kylin bezpośrednio wystawione do sieci publicznej.
- CVE-2026-62392Krytyczne
W Apache Kylin wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego (OS Command Injection). Nieprawidłowa neutralizacja specjalnych elementów w parametrach konfiguracyjnych zadań może pozwolić atakującemu na wykonanie dowolnych poleceń przez backendowe API. Problem dotyczy wersji od 4 do 5.0.3.
- CVE-2026-62390Krytyczne
W Apache Kylin wykryto podatność na iniekcję SQL w API backendu odświeżającym katalog tabel. Atakujący może wstrzyknąć złośliwe zapytanie SQL do generowanego kodu.
- CVE-2025-61734Wysokie
Podatność dotycząca plików lub katalogów dostępnych dla zewnętrznych podmiotów w Apache Kylin. Problem występuje, gdy dostęp administratora systemu i projektu Kylin nie jest dobrze chroniony. Dotyczy wersji Apache Kylin od 4.0.0 do 5.0.2. Zalecana jest aktualizacja do wersji 5.0.3.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in Apache Kylin. Impact most to the kylin services that are directly exposed to public network, which is not common. In-house kylin deployments are mostly not impacted. This issue affects Apache Kylin: from 4.0.4 through 5.0.4. Users are recommended to upgrade to version 5.0.5, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS