Към съдържанието
Търсене

CVE-2022-36089: kubevela, заобикаляне на вход и права

8.2

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

KubeVela is an application delivery platform Users using KubeVela's VelaUX APIServer could be affected by an authentication bypass vulnerability. In KubeVela prior to versions 1.4.11 and 1.5.4, VelaUX APIServer uses the `PlatformID` as the signed key to generate the JWT tokens for users. Another API called `getSystemInfo` exposes the platformID. This vulnerability allows users to use the platformID to re-generate the JWT tokens to bypass the authentication. Versions 1.4.11 and 1.5.4 contain a patch for this issue.

Засегнати продукти

  • kubevela kubevela: >= 1.4.0, < 1.4.11; >= 1.5.0, < 1.5.3

Вид слабост

История

  • 7 септември 2022 Публикувано

Други уязвимости в kubevela kubevela

Първоизточници

CVE-2022-36089: kubevela, заобикаляне на вход и права | freedomonline.bg