CVE-2026-105944

Nome do Software Vulnerável e Versões Afetadas Apache Pulsar Manager versões 0.1.0 through 0.4.0

Description O Apache Pulsar Manager contém diversas falhas de segurança. O processo de criação da conta de administrador inicial está disponível sem autenticação e permanece disponível após a inicialização, permitindo que qualquer usuário com acesso à rede crie uma conta de administrador. Nas versões 0.3.0 e posteriores, o software não distingue níveis de privilégios, concedendo a todas as contas direitos administrativos totais. Além disso, as solicitações enviadas ao Pulsar admin API via proxy ignoram a autenticação, permitindo que usuários não autenticados realizem operações administrativas usando as credenciais configuradas. Adicionalmente, o solicitante pode escolher o destino de uma solicitação proxy, fazendo com que o Pulsar Manager envie suas credenciais de administrador configuradas para um host arbitrário. Se configurado com uma chave de assinatura de token, um administrador do Pulsar Manager pode criar tokens para o cluster.

Recommendations Interrompa o uso do Apache Pulsar Manager e remova todas as implantações existentes. Substitua quaisquer credenciais do Pulsar ou chaves de assinatura de token que tenham sido usadas em configurações do Pulsar Manager. Restrinja o acesso à rede apenas a administradores confiáveis e não exponha o software a redes não confiáveis até que seja removido.