CVE-2026-111998
CVE-2026-111998 · Vanus 0.8.0 through 0.9.0 Default Admin Credentials via Gateway
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users, tokens, and role bindings, and read or publish events.
CVSS 9.3 · Критический · EPSS 0,7%
- Опубликовано
- Обновлено
Затронутые продукты и версии
vanus
- Версии
- ≥ 0.8.0, ≤ 0.9.0: Затронуто (semver)
Нет опубликованного исправления
Первоисточники
- https://github.com/vanus-labs/vanus/issues/647
- https://github.com/vanus-labs/vanus/blob/v0.9.0/internal/controller/tenant/controller.go#L449-L500
- https://github.com/vanus-labs/vanus/blob/v0.9.0/internal/primitive/constants.go#L37
- https://www.vulncheck.com/advisories/vanus-0.8.0-through-0.9.0-default-admin-credentials-via-gateway
- https://nvd.nist.gov/vuln/detail/CVE-2026-111998