CVE-2026-105930

Nome do Software Vulnerável e Versões Afetadas Apache Pulsar versões 2.8.0 até 4.0.13 Apache Pulsar versões 4.1.0 até 4.1.3 Apache Pulsar versões 4.2.0 até 4.2.4

Description Quando o gerenciamento de pacotes está habilitado através da configuração do broker enablePackagesManagement e da configuração do worker de funções functionsWorkerEnablePackageManagement, o worker de Pulsar Functions não valida adequadamente se o usuário solicitante tem permissão para acessar pacotes no namespace referenciado por uma URL de pacote. Em vez de verificar as permissões do usuário, o worker recupera o pacote usando suas próprias credenciais. Isso permite que um usuário autenticado com permissões para registrar ou atualizar funções, fontes ou sinks em seu próprio tenant acesse o conteúdo de pacotes em namespaces pertencentes a outros tenants. Isso pode levar à divulgação de informações sensíveis, como código de aplicativo, lógica de negócios ou credenciais incorporadas.

Recommendations Atualizar Apache Pulsar versões 2.8.0 até 4.0.13 para a versão 4.0.14 ou superior. Atualizar Apache Pulsar versões 4.1.0 até 4.1.3 para a versão 4.2.5 ou superior. Atualizar Apache Pulsar versões 4.2.0 até 4.2.4 para a versão 4.2.5 ou superior.