Résumé
généré automatiquement à partir des données NVDVanus 0.8.0 à 0.9.0 présente une vulnérabilité d'autorisation manquante (CWE-862) dans le gateway : tout utilisateur authentifié peut appeler Subscribe, Ack et d'autres méthodes sans contrôle de permission. Un attaquant peut fournir l'identifiant d'abonnement d'un autre tenant pour le détourner, lire et acquitter ses événements, priver le consommateur légitime de ses messages et énumérer les utilisateurs du cluster via ListUser. Score CVSS v3.1 : 7.6 (HIGH).
Description NVD (anglais)
Vanus 0.8.0 through 0.9.0 contains a missing authorization vulnerability in the gateway that allows any authenticated user to call Subscribe, Ack, and unregistered methods without permission checks. Attackers can supply another tenant's subscription ID to Subscribe to hijack it, read and acknowledge its events, starve the legitimate consumer, and enumerate cluster users via ListUser.
EPSS · FIRST.org
0,29 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 20 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 20 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 18 oct. 2026
- Mis à jour
- 19 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-862
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.