CVE-2026-44300

Nome do Software Vulnerável e Versões Afetadas OpenCost (versões afetadas não especificadas)

Description O OpenCost contém um problema de gravação de arquivo não autenticado no endpoint POST /serviceKey. A função AddServiceKey() em pkg/costmodel/router.go aceita dados fornecidos pelo usuário através do parâmetro key e os grava diretamente no arquivo de chave de conta de serviço do GCP sem autenticação ou validação de entrada. Isso permite que atacantes remotos sobrescrevam o arquivo key.json, o que pode levar à interrupção do serviço, roubo de credenciais e potencial escalada de privilégios em clusters Kubernetes. Além disso, o endpoint utiliza uma configuração de CORS excessivamente permissiva (Access-Control-Allow-Origin: *), o que pode permitir ataques de origem cruzada se o serviço estiver exposto ao navegador de um usuário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, considere desativar o endpoint /serviceKey caso ele não seja necessário. Restrinja o acesso ao serviço OpenCost usando NetworkPolicies para evitar acesso de rede não autorizado. Monte o diretório de configuração como somente leitura, sempre que possível, para evitar modificações de arquivos.