CVE-2026-104252

Nome do Software Vulnerável e Versões Afetadas Vitess versões anteriores a 23.0.5 Vitess versões anteriores a 24.0.2

Descrição A função twopczHandler em go/vt/vttablet/tabletserver/twopcz.go não realiza a codificação HTML ao gravar os valores dos formulários Action e dtid do endpoint de depuração HTTP /twopcz em uma resposta text/html. Um invasor remoto não autenticado pode explorar isso enviando uma solicitação manipulada a um operador, resultando na execução de scripts no navegador do operador. O script opera com a origem de depuração do vttablet, permitindo o acesso a endpoints de diagnóstico de mesma origem que expõem dados de perfil, variáveis, detalhes do ambiente, transações ou consultas na implantação.

Recomendações Atualize para a versão 23.0.5 ou posterior. Atualize para a versão 24.0.2 ou posterior.