CVE-2026-125370

KrytyczneCVSS 9.8

Opublikowano: 10/11/2026(UTC)Zaktualizowano: 10/11/2026(UTC)Przetłumaczono: 10/11/2026(UTC)NVD NIST

Streszczenie

Kubero w wersjach od 3.0.0 do 3.1.1 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym sfałszować administracyjne tokeny JWT poprzez użycie zaszytego awaryjnego sekretu podpisywania, gdy JWT_SECRET nie jest ustawiony. Atakujący mogą podpisać tokeny z dowolnymi roszczeniami roli, userGroups i uprawnień, którym JwtStrategy.validate() ufa bez sprawdzania w bazie danych, przejmując kontrolę nad pipeline'ami, aplikacjami, użytkownikami i tokenami API.

Ocena ryzyka

Atakujący może uzyskać uprawnienia administracyjne i przejąć kontrolę nad zasobami Kubero, w tym pipeline'ami i aplikacjami. Ryzyko jest wysokie, jeśli JWT_SECRET nie jest skonfigurowany.

Rekomendacja

Zaktualizować Kubero do wersji nowszej niż 3.1.1 i ustawić unikalny, silny JWT_SECRET. Zweryfikować, czy nie doszło do nieautoryzowanego dostępu.

Inne podatności w Kubero

CVE-2026-92720Krytyczne
Kubero w wersji do 3.1.1 nie stosuje zabezpieczeń uwierzytelniania w punktach końcowych API powiadomień, co pozwala nieuwierzytelnionym atakującym odczytać sekrety webhooków i adresy URL usług. Atakujący mogą pozyskać przechowywane poświadczenia oraz zarejestrować złośliwe webhooki w celu przechwytywania zdarzeń potoku lub wyciszenia alertów poprzez usunięcie istniejących konfiguracji.

Oryginalny opis (angielski, źródło NVD)

Kubero 3.0.0 through 3.1.1 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to forge administrative JWTs by using a hardcoded fallback signing secret when JWT_SECRET is unset. Attackers can sign tokens with arbitrary role, userGroups and permissions claims, which JwtStrategy.validate() trusts without a database lookup, to take control of pipelines, applications, users and API tokens.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS