p PatchFirst

CVE-2026-22680

CVE-2026-22680 · OpenViking < 0.3.3 Missing Authorization via Task Polling

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenViking versions prior to 0.3.3 contain a missing authorization vulnerability in the task polling endpoints that allows unauthorized attackers to enumerate or retrieve background task metadata created by other users. Attackers can access the /api/v1/tasks and /api/v1/tasks/{task_id} routes without authentication to expose task type, task status, resource identifiers, archive URIs, result payloads, and error information, potentially causing cross-tenant interference in multi-tenant deployments.

CVSS 6.9 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • openviking

    Версии
    • ≥ 0, < 0.3.3: Затронуто (semver)
    • 8c1c3f3608364ee0bb0e45f73478771a68aebdf5: Не затронуто (git)

    Обновитесь до 0.3.3

  • openviking PyPI

    Версии
    • 0.2.10.dev45
    • 0.2.10.dev50
    • 0.2.11
    • 0.2.12
    • 0.2.12.dev1
    • 0.2.13
    • 0.2.15
    • 0.3.1
    • 0.3.2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.3.3

    Обновитесь до 0.3.3

  • openviking PyPI

    Версии
    • 0.1.17
    • 0.1.18
    • 0.2.1
    • 0.2.10
    • 0.2.10.dev45
    • 0.2.10.dev50
    • 0.2.11
    • 0.2.12
    • 0.2.12.dev1
    • 0.2.13
    • 0.2.13.dev2
    • 0.2.13.dev4
    • 0.2.14.dev4
    • 0.2.15
    • 0.2.16.dev9
    • 0.2.3
    • 0.2.5
    • 0.2.6
    • 0.3.1
    • 0.3.2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0.3.3

    Обновитесь до 0.3.3

Первоисточники

Проверьте свой сервер →