CVE-2026-65959

Nome do Software Vulnerável e Versões Afetadas Vitess versões anteriores a 24.0.3

Descrição O endpoint /debug/vrlog, registrado pela função addHttpEndpoint() em go/vt/vttablet/tabletmanager/vreplication/vrlog.go, invoca vrlogStatsHandler() sem realizar a verificação de acesso necessária via acl.CheckAccessHTTP(r, acl.DEBUGGING). Isso permite que um chamador remoto com acesso à porta HTTP de depuração do vttablet ignore as políticas de segurança e transmita dados de VrLogStats gerados por NewVrLogStats().Send(). Esses dados podem incluir instruções SQL literais e valores de aplicação vinculados de fluxos de trabalho de MoveTables, Reshard, Materialize e vitess-strategy Online DDL.

Recomendações Atualize o Vitess para a versão 24.0.3 ou posterior. Como medida de mitigação temporária, restrinja o acesso de rede à porta HTTP de depuração do vttablet para evitar que chamadores remotos não autorizados acessem o endpoint /debug/vrlog.