جزئیات آسیب‌پذیری
CVE-2026-1907
Kong Enterprise GatewayKong Gateway
SQL Injection in Clustering Communication (Hybrid Mode)
CVSS 4.0
7.5بالا
شرح رسمی (انگلیسی)
A SQL Injection (SQLi) affects the Kong Gateway (Enterprise and Open Source) clustering communication logic when operating in Hybrid Mode. The issue can be triggered by sending specially crafted RPC requests to the Control Plane (CP), leading to potential unauthorized database access. Leveraging the issue requires network access to the Control Plane’s clustering port and a valid client certificate and key.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 4.0 | CVEProject cvelistV5 (CNA) (Kong) | CVSS:4.0/AV:A/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Kong | Kong Enterprise Gateway | 3.10.0.0 ≤ v < 3.10.0.9 | CVEProject cvelistV5 (CNA) |
| Kong | Kong Enterprise Gateway | 3.11.0.0 ≤ v < 3.11.0.8 | CVEProject cvelistV5 (CNA) |
| Kong | Kong Enterprise Gateway | 3.12.0.0 ≤ v < 3.12.0.4 | CVEProject cvelistV5 (CNA) |
| Kong | Kong Enterprise Gateway | 3.13.0.0 ≤ v < 3.13.0.2 | CVEProject cvelistV5 (CNA) |
| Kong | Kong Gateway | v < 3.9.4 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://developer.konghq.com/gateway/changelog/#3-13-0-2 release-notes
- https://github.com/Kong/kong/security/advisories/GHSA-vwxq-38j7-x48j vendor-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۲۰
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۲۳
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- Kong
پیش‌بینی بهره‌برداری (EPSS)
۰٫۱۳٪
احتمال بهره‌برداری در ۳۰ روز
۲٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-89Improper neutralization of special elements used in an SQL command ('SQL injection')