CVE-2026-84180
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w komponencie Apache Camel Knative polega na ujawnianiu szczegółów wyjątku w odpowiedzi HTTP zwracanej do zdalnego wywołującego. Gdy przetwarzanie wymiany nie powiodło się po stronie konsumenta, w treści odpowiedzi zwracano nazwę klasy, komunikat i stos wywołań wyjątku. Zewnętrzny nadawca mógł wywołać błąd i odczytać wewnętrzne informacje o wdrożeniu, takie jak nazwy klas i pakietów, nazwy plików lub hostów oraz strukturę trasy.
Ocena ryzyka
Ujawnienie wewnętrznych szczegółów może ułatwić przeprowadzenie bardziej ukierunkowanego ataku, a jeśli komunikat wyjątku zawiera konfigurację lub parametry połączenia, stanowi to samodzielny wyciek danych. Ryzyko dotyczy organizacji wykorzystujących Apache Camel Knative w wersjach od 4.0.0 do 4.18.4 oraz od 4.19.0 do 4.22.0.
Rekomendacja
Zaktualizuj Apache Camel do wersji 4.23.0, a w przypadku strumieni LTS 4.18.x do wersji 4.18.5 lub 4.22.x do wersji 4.22.1. Jeśli aktualizacja nie jest możliwa natychmiast, dodaj procedurę onException, która jawnie ustawia treść odpowiedzi, aby framework nie zwracał wyjątku do wywołującego.
Powiązane podatności
- CVE-2026-122051Krytyczne
W urządzeniu Edimax BR-6208AC w wersji 1.32 wykryto lukę w nieznanej funkcjonalności pliku /goform/mp. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-54384Krytyczne
API chmurowe VitaFit w wersji przed 2026-10-30 zawierało podatność omijania uwierzytelniania, pozwalającą zdalnym atakującym uzyskać pełną sesję konta ofiary poprzez przesłanie identyfikatora powiązanego konta Google lub Facebook do punktu końcowego POST /front/login/sns/ bez dowodu własności od dostawcy tożsamości. Atakujący może sfałszować logowanie przy użyciu identyfikatora ujawnionego przez enumerację kont, aby odczytać i zmodyfikować profil ofiary oraz usunąć rekord uwierzytelniania konta.
- CVE-2026-52848Krytyczne
GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.8 nieuwierzytelniony użytkownik mógł użyć spreparowanego adresu URL, aby pominąć weryfikację hasła jednorazowego podczas logowania, obchodząc uwierzytelnianie dwuskładnikowe. Problem naprawiono w wersji 11.0.8.
- CVE-2026-115770Krytyczne
Pocket ID to dostawca OIDC umożliwiający logowanie za pomocą passkeys. W wersjach od 2.2.0 do 2.12.0 funkcja SendEmailVerification wiąże token weryfikacji e-mail tylko z identyfikatorem użytkownika, podczas gdy UpdateUser może zmienić adres e-mail bez unieważnienia tokenu, a VerifyEmail oznacza bieżący adres jako zweryfikowany. Zwykły użytkownik może zażądać tokenu dla kontrolowanego adresu, zmienić konto na dowolny nieużywany adres i wykorzystać stary token, aby Pocket ID opublikował nowy adres z email_verified ustawionym na true.
- CVE-2026-97693Krytyczne
Platforma Yuxi w wersjach od 0.6.0.beta1 do 0.7.1 ma niewystarczającą izolację między sandboxami Docker a zaufanymi usługami aplikacji. Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać dostęp do API sandboxów innych najemców, ich plików i sekretów, a także wykonywać polecenia i zarządzać sandboxami bez znajomości poświadczeń administratora.
- CVE-2026-57566Krytyczne
Czytnik ebooków Readest przed wersją 0.11.10 zawiera nieuwierzytelnioną trasę /api/opds/proxy, która pobiera kontrolowany przez atakującego URL po stronie serwera bez ograniczeń schematu, blokowania prywatnych i lokalnych adresów oraz ponownej walidacji przekierowań. Trasa akceptuje również nagłówki wychodzące i wartości Authorization od wywołującego oraz odzwierciedla status i treść odpowiedzi serwera źródłowego.
- CVE-2026-54378Krytyczne
API chmurowe VitaFit przed 2026-10-30 zawierało podatność polegającą na błędnej kontroli dostępu, która pozwala każdemu uwierzytelnionemu użytkownikowi uzyskać tymczasowe poświadczenia AWS poprzez wywołanie endpointu POST /front/user/s3/token/. Atakujący może użyć tych niewłaściwie ograniczonych poświadczeń do listowania współdzielonego bucketa i odczytu lub nadpisania plików innych użytkowników.
- CVE-2026-102895Krytyczne
GPUStack przed wersją 2.2.0 traktował żądania pochodzące z pętli zwrotnej jako pochodzące od wbudowanego administratora, gdy force_auth_localhost było wyłączone (domyślnie). Zdalne żądanie mogło wyglądać na pochodzące z 127.0.0.1, co pozwalało na nieuwierzytelniony dostęp administracyjny, w tym zmianę użytkowników i modeli, tworzenie trwałych kluczy API administratora, ujawnianie sekretów oraz wykonanie kodu.
- CVE-2026-102894Krytyczne
GPUStack w wersjach od 0.7.1 do 2.2.2 zawiera endpoint /auth/saml/callback, który dekoduje XML SAML i używa NameID oraz atrybutów do uwierzytelnienia lub utworzenia użytkownika bez weryfikacji podpisu, wystawcy, odbiorcy, miejsca docelowego ani warunków czasowych. Dowolny klient sieciowy może podszyć się pod istniejącego użytkownika, w tym administratora, lub utworzyć nowe konto, nawet gdy SAML nie jest skonfigurowany.
- CVE-2026-82418Krytyczne
IBM Watson Speech Services Cartridge w wersjach od 4.0.0 do 5.4.0 zawiera podatność use-after-free, która może pozwolić zdalnemu atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel Knative component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. When processing of an exchange failed on the consumer side, the Knative HTTP consumer wrote the resulting exception back to the remote caller as the response body, including its class name, message and stack trace. An external sender could therefore provoke a failure and read internal detail about the deployment: class and package names, file system or host names carried in exception messages, and the shape of the route. That detail is useful for building a more targeted attack, and where an exception message embeds configuration or connection strings it is disclosure in its own right. camel-knative was the remaining HTTP-family consumer that had not been aligned with the muteException behaviour established for the other HTTP consumers by CAMEL-23651. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The consumer now honours a muteException option that defaults to true, so a route failure returns an empty body with the error status rather than the exception. Set muteException=false to restore the previous output. For deployments that cannot upgrade immediately, add an onException handler that sets the response body explicitly, so that the framework never writes the exception back to the caller.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS