CVE-2026-105926

Nome do Software Vulnerável e Versões Afetadas Apache Pulsar versões 2.2.0 até 4.0.13 Apache Pulsar versões 4.1.0 até 4.1.3 Apache Pulsar versões 4.2.0 até 4.2.4

Description O broker do Pulsar não verifica se um cliente autenticado está autorizado para um tópico de destino ao processar dois comandos específicos do protocolo binário: GetSchema() e GetOrCreateSchema(). Embora o broker verifique a autenticação, ele ignora a verificação de autorização exigida para outros comandos de tópico. Isso permite que um cliente autenticado, sem permissões para um tópico, namespace ou tenant específico, leia definições de esquema, como nomes e tipos de campos de registro, ou registre uma nova versão de esquema em um tópico existente. O registro de uma versão de esquema não autorizada pode causar erros de incompatibilidade de esquema para produtores e consumidores legítimos. Este problema afeta apenas implantações com autenticação e autorização habilitadas e não impacta os endpoints da API REST. Um cliente que implemente o protocolo binário diretamente pode ignorar a pesquisa de tópico autorizada realizada pelo cliente padrão do Pulsar.

Recommendations Atualize o Apache Pulsar versões 2.2.0 até 4.0.13 para a versão 4.0.14 ou superior. Atualize o Apache Pulsar versões 4.1.0 até 4.1.3 para a versão 4.2.5 ou superior. Atualize o Apache Pulsar versões 4.2.0 até 4.2.4 para a versão 4.2.5 ou superior.