CVE-2026-67349

Nome do Software Vulnerável e Versões Afetadas OpenCost versões anteriores a 1.121.0

Description A autenticação não é devidamente aplicada ao endpoint 'GET /helmValues', expondo a variável de ambiente HELM VALUES decodificada em base64, que contém credenciais do provedor de nuvem. Além disso, a função adminAuthMiddleware() falha ao abrir quando a variável ADMIN TOKEN não está definida, permitindo que usuários não autenticados modifiquem chaves de conta de serviço do GCP através do endpoint 'POST /serviceKey' para redirecionar chamadas de faturamento.

Recommendations Atualize para a versão 1.121.0 ou posterior. Certifique-se de que a variável ADMIN TOKEN esteja configurada corretamente para evitar que o middleware de autenticação falhe ao abrir.