CVE-2026-3416

ŚrednieCVSS 5.9

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 15/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Komponent API Publisher używał niekryptograficznego generatora liczb pseudolosowych (PRNG) do tworzenia wspólnych sekretów dla walidacji HMAC webhooków. Ten PRNG nie ma wystarczającej entropii dla operacji wrażliwych na bezpieczeństwo, co pozwala zaawansowanemu atakującemu przewidzieć przyszłe sekrety. Umożliwia to fałszowanie ładunków zdarzeń z prawidłowymi podpisami HMAC, omijając weryfikację autentyczności API Gateway.

Ocena ryzyka

Atakujący może przewidzieć sekrety HMAC i wstrzykiwać fałszywe zdarzenia, co może prowadzić do nieautoryzowanej manipulacji danymi lub kompromitacji systemów podrzędnych.

Rekomendacja

Zaktualizuj komponent API Publisher do wersji używającej kryptograficznie bezpiecznego generatora liczb losowych i wymuś rotację sekretów webhooków.

Inne podatności w API Publisher

CVE-2025-6508Średnie
Konsola Try-out Swagger UI w dokumentacji API Publisher umożliwia załadowanie zewnętrznego adresu URL definicji API Swagger, nadpisując istniejące definicje API w portalu Publisher. Wykorzystując tę podatność, złośliwi aktorzy mogą oszukać użytkowników, aby wchodzili w interakcje z tymi nadpisanymi definicjami API, co może prowadzić do ujawnienia wrażliwych informacji lub inicjowania niepożądanych żądań do usług zaplecza.

Oryginalny opis (angielski, źródło NVD)

The API Publisher component previously used a non-cryptographic pseudorandom number generator (PRNG) to create shared secrets for Webhook HMAC validation. This PRNG lacks sufficient entropy for security-sensitive operations, allowing a sophisticated attacker to predict future secrets. This enables malicious actors to forge event payloads with valid HMAC signatures, bypassing the API Gateway's authenticity verification. Successful exploitation could allow an attacker to predict shared secrets used for Webhook HMAC validation and forge event payloads with valid signatures. This may enable bypassing API Gateway authenticity checks, leading to unauthorized event injection, data manipulation, or downstream system compromise.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS