CVE-2026-2031
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W podatności CVE-2026-2031 występuje niewłaściwa kontrola dostępu w kilku wewnętrznych punktach API Google Cloud Application Integration przed 23 stycznia 2026 roku. Umożliwia to zdalnemu, nieautoryzowanemu atakującemu ujawnienie wrażliwych informacji oraz wykonanie dowolnego kodu za pomocą specjalnie przygotowanych żądań HTTP.
Ocena ryzyka
Organizacja może być narażona na ujawnienie poufnych informacji oraz możliwość wykonania złośliwego kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Google Cloud Application Integration oraz wprowadzenie odpowiednich zabezpieczeń w celu ograniczenia dostępu do wewnętrznych punktów API.
Inne podatności w Google Cloud Application Integration
Zobacz wszystkie- CVE-2026-93327Krytyczne
Podatność deserializacji niezaufanych danych w zadaniu SubWorkflow w Google Cloud Application Integration (wersje przed 2026-09-11) pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu przy użyciu spreparowanego obiektu serializowanego. Podatność została załatana 11 września 2026 r.
- CVE-2026-81867Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-28 występuje podatność deserializacji niezaufanych danych w zadaniu JavaScript. Uwierzytelniony użytkownik z uprawnieniami standardowymi może uruchomić dowolny kod na współdzielonych serwerach produkcyjnych, obchodząc zabezpieczenia parametrów za pomocą specjalnie spreparowanego skryptu.
- CVE-2026-19759Krytyczne
W Google Cloud Application Integration w wersjach przed 2026-06-17 występuje podatność nieprawidłowej autoryzacji w konfiguracji zadań. Uwierzytelniony użytkownik Google Cloud może wykonywać dowolne wewnętrzne wywołania RPC z wnętrza sieci produkcyjnej Google pod uprzywilejowaną tożsamością, używając typu zadania dostępnego wyłącznie wewnętrznie.
- CVE-2026-12710Krytyczne
W Google Cloud Application Integration (wersje od 2025-04-28 do 2026-04-04) znaleziono podatność braku autoryzacji w QueryEngineTask, która pozwala zewnętrznemu atakującemu na dostęp do wrażliwych danych wewnętrznych. Problem został naprawiony 4 kwietnia 2026 roku; nie jest wymagane działanie ze strony klienta.
- CVE-2026-85298Wysokie
Google Cloud Application Integration przed wersją 2026-08-27 zawiera podatność na nieprawidłową autoryzację w walidacji AuthConfig i środowisku wykonawczym integracji, która pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i podszycie się pod konto usługi w projekcie. Podatność została załatana 27 sierpnia 2026 roku i nie wymaga działań ze strony klienta.
- CVE-2026-81375Wysokie
W komponencie EmailTask w Google Cloud Application Integration w wersjach przed 2026-06-30 na Google Cloud Platform występuje podatność typu Confused Deputy. Umożliwia ona uwierzytelnionemu atakującemu odczyt i eksfiltrację dowolnych plików wewnętrznych Google poprzez spreparowaną ścieżkę pliku załącznika. Podatność została załatana 30 czerwca 2026 r. i nie są wymagane żadne działania klientów.
Oryginalny opis (angielski, źródło NVD)
An Improper Access Control vulnerability in several internal API endpoints for Google Cloud Application Integration prior to 2026-01-23 allows a remote, unauthenticated attacker to disclose sensitive internal information and execute arbitrary code using specially crafted HTTP requests to inadvertently exposed internal API endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS