CVE-2026-63645
Açıklama
OpenObserve, bulut tabanlı bir gözlemlenebilirlik platformudur. 0.90.3 sürümünden önce OpenObserve, /config/runtime uç noktasını kimlik doğrulama olmadan kaydeder ve hide_sensitive_fields anahtar kelime filtresini uyguladıktan sonra tüm sunucu yapılandırmasını serileştirir. Filtre, dsn veya creds alan adlarını tanımadığından; meta_postgres_dsn, meta_postgres_ro_dsn, meta_ddl_dsn ve usage_reporting_creds bilgileri, kimliği doğrulanmamış bir ağ istemcisine düz metin olarak döndürülebilir. PostgreSQL dağıtımları veritabanı kimlik bilgilerini ifşa edebilir ve aynı yanıt kök yönetici e-posta adresini, dahili NATS adresini, dosya sistemi düzenini ve diğer dağıtım ayrıntılarını açığa çıkarabilir. Bu sorun 0.90.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openobserve openobserve | < 0.90.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.