CVE-2026-105927

Nome do Software Vulnerável e Versões Afetadas Apache Pulsar versões 2.3.0 até 4.0.13 Apache Pulsar versões 4.1.0 até 4.2.4

Description O serviço WebSocket do Apache Pulsar não verifica se um usuário conectado possui as permissões de PRODUCE necessárias para o tópico especificado no parâmetro de consulta deadLetterTopic do endpoint do consumidor. Embora o serviço verifique as permissões de CONSUME no tópico assinado, ele grava mensagens de letras mortas (dead letter) usando sua própria identidade de cliente do broker em vez da identidade do usuário. Isso permite que um usuário autenticado com permissões de CONSUME em qualquer tópico injete mensagens em um tópico arbitrário em qualquer namespace existente, incluindo namespaces de outros locatários, desde que a função do serviço WebSocket tenha as permissões necessárias e o tópico de destino não exija a validação de esquema. Este problema ocorre apenas quando o serviço WebSocket está habilitado através da configuração webSocketServiceEnabled no broker ou utilizado como um proxy WebSocket independente. O impacto é a injeção não autorizada de mensagens, que pode consumir armazenamento e capacidade de backlog no namespace de destino.

Recommendations Atualizar o Apache Pulsar versões 2.3.0 até 4.0.13 para a versão 4.0.14 ou superior. Atualizar o Apache Pulsar versões 4.1.0 até 4.2.4 para a versão 4.2.5 ou superior. Desativar o serviço WebSocket caso não seja necessário. Restringir o acesso de rede ao serviço WebSocket. Limitar as permissões da função utilizada pelo serviço WebSocket apenas aos namespaces que os clientes WebSocket devem acessar.