PT-2026-30929 · Unknown · Openviking

Zeattacker · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2026-22680

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions OpenViking versões anteriores a 0.3.3

Description As versões do OpenViking anteriores a 0.3.3 apresentam uma falha de autorização nos endpoints de polling de tarefas, permitindo que invasores não autorizados enumerem ou recuperem metadados de tarefas em segundo plano criadas por outros usuários. Os invasores podem acessar as rotas /api/v1/tasks e /api/v1/tasks/{task id} sem autenticação para expor o tipo de tarefa, o status da tarefa, os identificadores de recursos, os URIs de arquivo, os payloads de resultados e as informações de erro, o que pode causar interferência entre locatários em implantações multilocatárias.

Recommendations Atualize para a versão 0.3.3 ou posterior.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-22680

GHSA-H336-2WXM-PR6Q

Produtos afetados

Openviking

Referências · 8

• 🔥 https://github.com/volcengine/OpenViking/pull/1182 · Exploit
• https://github.com/volcengine/OpenViking · Nota
• https://github.com/volcengine/OpenViking/commit/8c1c3f3608364ee0bb0e45f73478771a68aebdf5 · Correção
• https://github.com/volcengine/OpenViking/releases/tag/v0.3.3 · Nota
• https://vulncheck.com/advisories/openviking-missing-authorization-via-task-polling · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22680 · Nota de Segurança
• https://twitter.com/CVEnew/status/2041569960682779021 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-h336-2wxm-pr6q · Aviso do Fabricante