Średni Odebrany

CVE-2026-105930

opublikowano: 21.10.2026, 20:17

modyfikacja: 21.10.2026, 20:17

Ocena CVSS

6.0

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Gdy zarządzanie pakietami jest włączone, funkcje, źródła i ujścia Pulsara można zarejestrować lub zaktualizować z pakietu przechowywanego w usłudze zarządzania pakietami Pulsar, podając adres URL pakietu. Pracownik Pulsar Functions autoryzował te żądania wyłącznie w odniesieniu do przestrzeni nazw, w której komponent był rejestrowany lub aktualizowany. Nie sprawdzał, czy żądający użytkownik miał zezwolenie na dostęp do pakietów w przestrzeni nazw, do której odnosi się adres URL pakietu, i pobierał pakiet od brokera, korzystając z własnych poświadczeń pracownika. W związku z tym kontrola uprawnień usługi zarządzania pakietami została zatem zastosowana do tożsamości pracownika, a nie użytkownika żądającego. Adresy URL pakietów funkcji transformacji podawane podczas rejestracji lub aktualizacji ujścia były obsługiwane w ten sam sposób.

Uwierzytelniony użytkownik, który może rejestrować lub aktualizować funkcje, źródła lub ujścia w dowolnej przestrzeni nazw własnego dzierżawcy, może wykorzystać to do uzyskania zawartości pakietu przechowywanego w przestrzeni nazw innego dzierżawcy, bez posiadania uprawnień pakietów w tej przestrzeni nazw. Wpływ ogranicza się do ujawnienia zawartości pakietu, która może obejmować kod aplikacji, logikę biznesową lub osadzone poświadczenia. Problem nie pozwala na modyfikowanie ani usuwanie pakietów i nie wpływa na dostępność.

Ten problem dotyczy tylko wdrożeń, w których włączono uwierzytelnianie i autoryzację oraz w których włączono zarządzanie pakietami: ustawienie brokera EnablePackagesManagement oraz, w bieżących wersjach, ustawienie procesu roboczego funkcjifunctionWorkerEnablePackageManagement. Obydwa ustawienia są domyślnie wyłączone.

Ten problem dotyczy wersji Apache Pulsar od 2.8.0 przed 4.0.14, od 4.1.0 do 4.1.3 i od 4.2.0 przed 4.2.5.

- Użytkownicy wersji 4.0.x powinni dokonać aktualizacji do co najmniej wersji 4.0.14.
- Użytkownicy wersji 4.1.xi 4.2.x powinni dokonać aktualizacji do co najmniej wersji 4.2.5.

Użytkownicy korzystający z wersji wcześniejszych niż wymienione powyżej powinni dokonać aktualizacji do wyżej wymienionych wersji z poprawkami lub do nowszych wersji.

Obecnie obsługiwane linie wydań Apache Pulsar to 4.0.x i 5.0.x. Harmonogram obsługiwanych wersji jest dostępny pod adresem https://pulsar.apache.org/contribute/release-policy/.

When package management is enabled, Pulsar Functions, Sources and Sinks can be registered or updated from a package stored in the Pulsar Packages Management Service by supplying a package URL. The Pulsar Functions worker authorized these requests only against the namespace in which the component was being registered or updated. It did not check whether the requesting user was permitted to access packages in the namespace that the package URL refers to, and it retrieved the package from the broker using the worker's own credentials. The permission check of the Packages Management Service was therefore applied to the worker's identity instead of the requesting user's. Package URLs of transform functions supplied when registering or updating a sink were handled in the same way.

An authenticated user who is permitted to register or update functions, sources or sinks in any namespace of their own tenant could use this to obtain the contents of a package stored in a namespace of another tenant, without having the packages permission on that namespace. The impact is limited to disclosure of package contents, which may include application code, business logic or embedded credentials. The issue does not allow packages to be modified or deleted and does not affect availability.

This issue only affects deployments that have authentication and authorization enabled and in which package management has been enabled: the broker setting enablePackagesManagement and, in current releases, the functions worker setting functionsWorkerEnablePackageManagement. Both settings are disabled by default.

This issue affects Apache Pulsar versions from 2.8.0 before 4.0.14, from 4.1.0 through 4.1.3, and from 4.2.0 before 4.2.5.

- 4.0.x version users should upgrade to at least 4.0.14.
- 4.1.x and 4.2.x version users should upgrade to at least 4.2.5.

Users operating versions prior to those listed above should upgrade to the aforementioned patched versions or newer versions.

The currently supported Apache Pulsar release lines are 4.0.x and 5.0.x. The supported versions schedule is available at https://pulsar.apache.org/contribute/release-policy/.

>_ Słabości (CWE)

CWE-863

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve