PT-2026-22190 · Unknown · Openviking

Chia Min Jun Lennon · Publicado 2026-02-26 · Atualizado 2026-03-03 · CVE-2026-22207

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenViking, versões anteriores a 0.1.19

Descrição O software apresenta um problema de controle de acesso quebrado. Atacantes não autenticados podem obter privilégios de ROOT quando a configuração root api key não está definida. Os atacantes podem enviar requisições a endpoints de API protegidos sem cabeçalhos de autenticação, permitindo acesso a funções administrativas. Essas funções incluem gerenciamento de contas, operações de recursos e configuração do sistema. Os endpoints de API vulneráveis são acessíveis sem autenticação adequada quando a root api key é omitida.

Recomendações Atualize para a versão 0.1.19 ou posterior. Certifique-se de que a configuração root api key está definida corretamente para evitar acesso não autorizado.

Exploit

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-22207

Produtos afetados

Openviking

Referências · 12

• 🔥 https://github.com/volcengine/OpenViking/issues/302 · Exploit
• https://github.com/volcengine/OpenViking/commit/0251c7045b3f8092c4d2e1565115b1ba23db282f · Correção
• https://github.com/volcengine/OpenViking/pull/310 · Aviso do Fabricante
• https://github.com/volcengine/OpenViking/pull/310/changes/0251c7045b3f8092c4d2e1565115b1ba23db282f · Correção
• https://osv.dev/vulnerability/CVE-2026-22207 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2027466658357645695 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22207 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2027467799732383800 · Publicação no Twitter
• https://t.me/cveNotify/153835 · Publicação no Telegram
• https://twitter.com/cracbot/status/2028787686610473186 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2027473997869563938 · Publicação no Twitter
• https://vulncheck.com/advisories/openviking-missing-root-api-key-allows-anonymous-root-access · Nota