جزئیات آسیب‌پذیری
CVE-2026-92750
harness Harness
Harness through 3.3.0 Missing Access Control via infraproviders endpoint
CVSS 4.0
7.1بالا
شرح رسمی (انگلیسی)
Harness through 3.3.0 omits access control validation in the infrastructure provider read endpoint, allowing authenticated users to retrieve provider configurations from spaces they do not belong to. Attackers can query the GET /api/v1/infraproviders endpoint with arbitrary space identifiers to expose sensitive provider metadata including Docker endpoints, TLS certificate paths, and cloud project identifiers.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
| 6.5متوسط | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| harness | Harness | v ≤ 3.3.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/harness/harness/issues/3697 issue-tracking
- https://github.com/harness/harness product
- https://github.com/harness/harness/blob/v3.3.0/app/api/controller/infraprovider/find.go#L25-L41 technical-description
- https://github.com/harness/harness/blob/v3.3.0/app/api/controller/infraprovider/list.go#L37 technical-description
- https://www.vulncheck.com/advisories/harness-through-3.3.0-missing-access-control-via-infraproviders-endpoint third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۷٪
احتمال بهره‌برداری در ۳۰ روز
۲۰٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-862Missing Authorization