PT-2026-106744

CVE-2026-106040

Publicado

2026-10-06

Atualizado

2026-10-06

Descrição por

CVSS 4.0

8.8

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Mooncake Store versões master through 0.3.13.post1

Description Uma falha de autorização ausente permite que atacantes não autenticados apaguem réplicas em disco de qualquer objeto. Ao acessar a porta master coro rpc, um atacante pode acionar as funções EvictDiskReplica() e BatchEvictDiskReplica() para remover réplicas de DISK em todos os locatários. Isso pode resultar na exclusão permanente de objetos caso a réplica em disco fosse a única cópia restante.

Recommendations Atualize o Mooncake Store para uma versão posterior à 0.3.13.post1. Como medida de mitigação temporária, restrinja o acesso à porta master coro rpc apenas a redes autorizadas.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Jiajia Liu

Mingkai Yu

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados