8.8
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Mooncake Store master through 0.3.13.post1 contains a missing authentication vulnerability that allows unauthenticated attackers to force-delete any object via Remove, RemoveByRegex, RemoveAll and BatchRemove on the coro_rpc port. Attackers can send forged requests with the force flag set to bypass lease checks, wipe keys matching any regex, or clear the entire store, causing cache loss and request failures.
Засегнати продукти
- kvcache-ai Mooncake: до 0.3.13.post1
Вид слабост
История
- 6 октомври 2026 Публикувано
Други уязвимости в kvcache-ai Mooncake
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-106038
- https://nvd.nist.gov/vuln/detail/CVE-2026-106038
- https://github.com/kvcache-ai/Mooncake/issues/4474
- https://github.com/kvcache-ai/Mooncake/blob/719735896c86b56fabec6cf3e825fb2ea640597a/mooncake-store/src/master_service.cpp#L6416-L6478
- https://github.com/kvcache-ai/Mooncake
- https://www.vulncheck.com/advisories/mooncake-store-through-0.3.13-post1-unauthenticated-object-deletion-via-remove-rpcs