CVE-2026-126065

Nome do Software Vulnerável e Versões Afetadas OpenObserve versões anteriores a 1.1.0

Description Uma falha no validador de autenticação compartilhado localizado em src/api/common/src/auth/validator.rs permite que um invasor não autenticado ignore a autenticação para contas onde o valor password ext está ausente ou vazio, como usuários criados via migração ou provisionamento SSO. Ao fornecer uma senha HTTP Basic vazia ou composta apenas por espaços, juntamente com o endereço de e-mail e a organização da vítima, um invasor pode obter acesso a rotas de API de não-ingestão protegidas com as permissões da vítima. Se uma conta privilegiada for comprometida, o invasor poderá modificar ou expor telemetria, alertas, fluxos, usuários e configurações de segurança. Além disso, uma conta com permissões de pesquisa pode usar a API de pesquisa para executar uma instrução DataFusion COPY ... TO, permitindo a criação ou a substituição de arquivos em locais graváveis pelo processo do serviço, o que pode levar à execução remota de código.

Recommendations Atualizar para a versão 1.1.0.