Résumé
généré automatiquement à partir des données NVDVanus, dans les versions 0.8.0 à 0.9.0, contient une vulnérabilité d'identifiants par défaut (CWE-1392) : un jeton admin codé en dur permet à un attaquant distant non authentifié d'obtenir un accès cluster-admin. En envoyant ce Bearer token fixe au port du proxy gRPC de la passerelle, il peut gérer les namespaces, eventbuses, utilisateurs, tokens et role bindings, ainsi que lire ou publier des événements. Le score CVSS v3.1 est de 9.8 (critique).
Description NVD (anglais)
Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users, tokens, and role bindings, and read or publish events.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 18 oct. 2026
- Mis à jour
- 18 oct. 2026
- Statut
- Received
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-1392
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.