3.3
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, с администраторски права и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
OpenBao 2.2.0 before 2.6.4 and 2.7.0 before 2.7.1 contains an information disclosure vulnerability that exposes the tls_acme_eab_mac_key value through the sys/config/state/sanitized endpoint. Callers of the sanitized configuration endpoint can retrieve the ACME External Account Binding MAC key used for TLS listener certificates, letting them bind to the operator's ACME account.
Засегнати продукти
- openbao openbao: 2.2.0 преди 2.6.4; 2.6.4; 2.7.0 преди 2.7.1; 2.7.1
Вид слабост
История
- 22 октомври 2026 Публикувано
Други уязвимости в openbao openbao
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-115363
- https://nvd.nist.gov/vuln/detail/CVE-2026-115363
- https://github.com/openbao/openbao/security/advisories/GHSA-3237-j65r-m5rp
- https://www.vulncheck.com/advisories/openbao-2.2.0-before-2.6.4-and-2.7.0-before-2.7.1-acme-eab-mac-key-disclosure-via-sanitized-configuration