CVE-2026-81664

Nome do Software Vulnerável e Versões Afetadas OpenFaaS gateway versões 0.27.11 through 0.27.13

Description O OpenFaaS gateway registra o endpoint 'GET /system/telemetry' em gateway/main.go. Quando a autenticação básica está habilitada, os manipuladores administrativos sob /system/* são normalmente envolvidos em auth.DecorateWithBasicAuth para garantir a verificação de credenciais. No entanto, a função TelemetryHandler foi omitida desse bloco de envolvimento. Consequentemente, o endpoint atinge o proxy de encaminhamento sem autenticação, permitindo que qualquer cliente com acesso à porta do gateway leia a telemetria do provedor. Os dados expostos variam conforme o provedor, incluindo métricas de recursos e invocações para faasd ou estado do pod e do cluster para faas-netes.

Recommendations Atualize o OpenFaaS gateway para a versão 0.27.14 ou posterior.