CVE-2026-103090

Nome do Software Vulnerável e Versões Afetadas Google OSS Agent Mesh (SAM) versões 0.1.0-alpha.1 até 0.1.0-alpha.8

Descrição A ausência de autenticação e a proteção insuficiente de credenciais no manipulador de status de registro do plano de controle HandleEnrollStatus() no endpoint 'GET /enroll/status' permitem que um invasor remoto não autenticado recupere um token de identidade Biscuit assinado de um peer com registro bootstrap aprovado, fornecendo um peer id obtido no endpoint 'GET /info'. Além disso, uma falha no endpoint 'POST /enroll' permite que qualquer detentor de um token de bootstrap recupere credenciais de outro peer. Um invasor pode usar o token Biscuit divulgado como uma credencial de portador para ler políticas de autorização da malha através do endpoint '/policies' ou sobrescrever multiaddrs de roteadores anunciados através do endpoint '/routers/lease'.

Recomendações Atualize para a versão 0.1.0-alpha.9 ou posterior.