CVE-2024-30896
InfluxDB OSS 2.x fino alla 2.7.11 memorizza il token amministrativo dell'operatore nell'organizzazione predefinita, consentendo agli utenti autorizzati con...
- Pubblicato
- 21 nov 2024
- Aggiornato
- 19 dic 2025
- Assegnazione CNA
- mitre
- Evidenza osservata
- 8 apr 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 92,3%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
InfluxDB OSS 2.x fino alla 2.7.11 memorizza il token amministrativo dell'operatore nell'organizzazione predefinita, consentendo agli utenti autorizzati con accesso in lettura alla risorsa di autorizzazione dell'organizzazione predefinita di recuperare il token dell'operatore. Le versioni InfluxDB OSS 1.x, Enterprise, Cloud, Cloud Dedicated e Clustered non sono interessate. NOTA: Il ricercatore dichiara che InfluxDB consente agli amministratori allAccess di recuperare tutti i token grezzi tramite un comando "influx auth ls". Il fornitore indica che la funzionalità delle organizzazioni funziona come previsto e che gli utenti possono scegliere di aggiungere utenti a organizzazioni non predefinite. Una versione futura di InfluxDB 2.x rimuoverà la possibilità di recuperare i token dall'API. Il fornitore ha dichiarato che InfluxDB 2.8.0 ha risolto questo problema.
Fonti
2Exploit proof-of-concept per CVE-2024-30896, una vulnerabilità di escalation dei privilegi in InfluxDB che consente ai titolari di token allAccess di ottenere accesso a livello di operatore tramite l'elenco dei token di autorizzazione.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.