PT-2026-37203 · Pelican · Pelican

Brian Bockelman + 1 · Publicado 2026-05-04 · Atualizado 2026-05-09 · CVE-2026-42571

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.0

Crítica

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Pelican versões 7.21.0 a 7.21.4 Pelican versões 7.22.0 a 7.22.2 Pelican versões 7.23.0 a 7.23.2 Pelican versões 7.24.0 a 7.24.1

Description Um problema de escalonamento de privilégios existe na Interface do Usuário Web (WebUI) que permite que qualquer usuário autenticado via OAuth obtenha privilégios de administrador sob configurações específicas. Isso ocorre quando os logins OIDC estão habilitados e o invasor conhece ou adivinha um identificador de administrador para um administrador que ainda não tenha feito login na WebUI. O problema é particularmente relevante quando as seguintes variáveis de configuração estão habilitadas:

• Server.UIAdminUsers: afetado se os usuários administradores listados ou a conta de administrador padrão não tiverem feito login anteriormente.
• Server.AdminGroups: afetado se Issuer.GroupSource estiver definido como internal e um administrador do grupo não tiver feito login anteriormente.

Um invasor pode criar registros no banco de dados que lhe concedem privilégios de administrador em logins subsequentes, permitindo-lhe modificar configurações do servidor, criar tokens de API persistentes e alterar senhas de administrador. Dependendo do serviço, isso pode levar a altos riscos de adulteração de dados, como modificar configurações para apontar para registros diferentes, envenenar namespaces de toda a federação ou expor caminhos protegidos.

Recommendations Atualize para a versão 7.21.5 ou posterior para aqueles na série 7.21. Atualize para a versão 7.22.3 ou posterior para aqueles na série 7.22. Atualize para a versão 7.23.3 ou posterior para aqueles na série 7.23. Atualize para a versão 7.24.2 ou posterior para aqueles na série 7.24. Como solução temporária, desative a configuração vulnerável removendo ou comentando as definições Server.UIAdminUsers e Server.AdminGroups no arquivo pelican.yaml.

Correção

LPE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-42571

GHSA-RPFR-X88X-XWCW

Produtos afetados

Pelican

Referências · 6

• https://github.com/PelicanPlatform/pelican/security/advisories/GHSA-rpfr-x88x-xwcw · Nota
• https://github.com/PelicanPlatform/pelican · Nota
• https://github.com/PelicanPlatform/pelican/commit/7f73b9c3e677a0ae4a0ec465c5d98bb8bd948854 · Nota
• https://osv.dev/vulnerability/GHSA-rpfr-x88x-xwcw · Aviso do Fabricante
• https://t.me/CVEtracker/53234 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-42571 · Nota de Segurança