CVSS 4.0
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Атакува се
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Tilt defines dev environments as code for microservice apps on Kubernetes. From 0.20.8 through 0.37.3, the Tilt HUD HTTP server registers handlers on a gorilla/mux router with no authenticating middleware. When the HUD is bound to a non-loopback address, an unauthenticated network caller can trigger developer-defined resources, tamper with Tiltfile arguments, read full engine state including the session token, and invoke apiserver resources through the token-attaching /proxy handler. This issue is fixed in version 0.37.4.
Засегнати продукти
- tilt-dev tilt: >= 0.20.8, < 0.37.4
Вид слабост
История
- 10 юли 2026 Публикувано
Други уязвимости в tilt-dev tilt
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-55884
- https://nvd.nist.gov/vuln/detail/CVE-2026-55884
- https://github.com/tilt-dev/tilt/security/advisories/GHSA-c73q-8xxr-rgqm
- https://github.com/tilt-dev/tilt/pull/6776
- https://github.com/tilt-dev/tilt/commit/47393fba7f6ef5e305d5e814551feef8e4acbc0a
- https://github.com/tilt-dev/tilt/releases/tag/v0.37.4