CVE-2026-63406

Nome do Software Vulnerável e Versões Afetadas AnyCable versões anteriores a 1.6.15

Description O subsistema de telemetria contém um token de autenticação fixo em telemetry/config.go usado para autenticação em https://telemetry.anycable.io. Além disso, a função clusterFingerprint() em telemetry/telemetry.go processa o arquivo de configuração completo e argumentos brutos de linha de comando via anycableCLIArgs(), incluindo valores sensíveis passados através de --secret, --jwt secret e --http rpc secret. Essas entradas brutas são passadas para a função generateDigest() para criar uma impressão digital hexadecimal enviada como telemetria. Como o token de autenticação é público, um invasor capaz de realizar sequestro de DNS ou interceptação de rede poderia potencialmente interceptar a carga útil de telemetria contendo dados derivados de credenciais do operador.

Recommendations Atualize para a versão 1.6.15. Como mitigação temporária, evite usar as flags --secret, --jwt secret e --http rpc secret ao iniciar o servidor até que a atualização seja aplicada.