PT-2026-140928
CVE-2026-123270
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Redpanda Connect الإصدارات من 4.39 إلى 4.110
Description
في وضع التدفقات (streams mode)، يتم تعريض واجهة برمجة تطبيقات HTTP للإدارة على
0.0.0.0:4195 دون تفعيل المصادقة افتراضيًا، مما يترك مسارات CRUD الخاصة بالتدفق غير محمية. يمكن لمهاجم غير مصرح له لديه وصول إلى الشبكة عبر TCP/4195 إرسال طلب POST إلى نقطة النهاية /streams/{id} بتعريف خط أنابيب (pipeline) خبيث. ومن خلال استخدام معالجات تنفيذ الكود مثل command أو subprocess أو ffi أو sql raw غير الآمن، يمكن للمهاجم تحقيق تنفيذ عن بُعد للكود (RCE) على المضيف بصلاحيات حساب خدمة Redpanda Connect. يتيح ذلك اختراق المضيف بالكامل، وسرقة الاعتمادات، وتسريب البيانات، حيث يمكن لخطوط الأنابيب إرجاع مخرجات الأوامر عبر HTTP.Recommendations
التحديث إلى الإصدار 4.111 أو إصدار أحدث.
تجنب تفعيل واجهة برمجة تطبيقات الإدارة يدويًا عبر علم
--bind-http في الإصدارات 4.111 وما بعدها لمنع خطر تنفيذ الكود عن بُعد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾