9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users, tokens, and role bindings, and read or publish events.
Засегнати продукти
- vanus-labs vanus: 0.8.0 до 0.9.0
Вид слабост
История
- 18 октомври 2026 Публикувано
Други уязвимости в vanus-labs vanus
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-111998
- https://nvd.nist.gov/vuln/detail/CVE-2026-111998
- https://github.com/vanus-labs/vanus/issues/647
- https://github.com/vanus-labs/vanus/blob/v0.9.0/internal/controller/tenant/controller.go#L449-L500
- https://github.com/vanus-labs/vanus/blob/v0.9.0/internal/primitive/constants.go#L37
- https://www.vulncheck.com/advisories/vanus-0.8.0-through-0.9.0-default-admin-credentials-via-gateway