SpiceDB's SPICEDB_DATASTORE_CONN_URI is leaked on startup logs

中 4.4CVE-2026-40091 · GHSA-jf4f-rr2c-9m58 · GO-2026-5465 · 15/04/2026 公開 · 26/10/2026 更新

要点

CVE-2026-40091 は github.com/authzed/spicedb, spicedb (authzed) に影響する深刻度「中」 (CVSS 4.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.17%（全脆弱性の 5.9% より高い）。
対処：1.51.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/authzed/spicedb Go	`≥ 1.49.0, < 1.51.1`	`1.51.1`
spicedb authzed	`≥ 1.49.0, < 1.51.1`	`1.51.1`

概要

Impact

When SpiceDB starts with log level info, the startup "configuration" log will include the full datastore DSN, including the plaintext password, inside DatastoreConfig.URI.

Patches

v1.51.1

Workarounds

Change the log level to warn or error.

NVD の説明

SpiceDB is an open source database system for creating and managing security-critical application permissions. In versions 1.49.0 through 1.51.0, when SpiceDB starts with log level info, the startup "configuration" log will include the full datastore DSN, including the plaintext password, inside DatastoreConfig.URI. This issue has been fixed in version 1.51.1. If users are unable to immediately upgrade, they can work around this issue by changing the log level to warn or error.

参考情報

authzed/spicedb security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-40091 · ADVISORY
authzed/spicedb · PACKAGE
authzed/spicedb release v1.51.1 · WEB

github.com/authzed/spicedb のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

github.com/authzed/spicedb

≥ 1.49.0, < 1.51.1

1.51.1

spicedb

authzed