Résumé
Vulnérabilité dans Crabbox (CVE-2026-45223). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via sprite.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Crabbox before 0.9.0 contains an authentication bypass vulnerability in the coordinator user-token verification path where the verifyUserToken() function fails to reject payloads containing an admin claim, allowing attackers to escalate privileges. An attacker with access to the shared non-admin token can craft a user-token payload with admin: true, sign it using HMAC-SHA256, and present it to admin-only coordinator routes to gain full coordinator admin access including lease visibility, pool state management, and forced release operations.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-45223 a été découverte dans c.
Des attaquants peuvent cibler un point d'entrée spécifique comme sprite à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « c CVE-2026-45223 » sur le site de l'éditeur.
CVE-2026-45223 (c) — CWE-290 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : sprite / devbox
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Crabboxにおける認証バイパスの脆弱性。
バージョン0.9.0未満のCrabboxの協調ユーザートークン検証パス。
この脆弱性は、攻撃者が管理者としてのシステムアクセスを取得する可能性があるため重大です。
問題を修正するには、バージョン0.9.0にアップデートしてください。
情報なし
verifyUserToken() 関数の動作を確認し、adminクレームが拒否されるかテストしてください。
Références
- web disclosure@vulncheck.com
- web github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com