CVE-2026-123270

Nome do Software Vulnerável e Versões Afetadas Redpanda Connect versões 4.39 a 4.110

Description No modo de streams, a API HTTP de gerenciamento é exposta em 0.0.0.0:4195 sem autenticação habilitada por padrão, deixando as rotas CRUD de stream desprotegidas. Um invasor não autenticado com acesso de rede ao TCP/4195 pode enviar uma requisição POST para o endpoint /streams/{id} com uma definição de pipeline maliciosa. Ao utilizar processadores de execução de código como command, subprocess, ffi ou sql raw inseguro, o invasor pode alcançar a execução remota de código (RCE) arbitrária no host com as permissões da conta de serviço. Isso permite o comprometimento total do host, roubo de credenciais e exfiltração de dados, pois os pipelines podem retornar a saída de comandos in-band via HTTP.

Recommendations Atualize para a versão 4.111 ou posterior. Evite habilitar manualmente a API de gerenciamento através da flag --bind-http nas versões 4.111 e posteriores para evitar o risco de execução remota de código.