KubePi may leak password hash of any user

CAO 7.5CVE-2023-37916 · GHSA-87f6-8gr7-pc6h · GO-2023-1957 · Công bố 21/07/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-37916 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng github.com/KubeOperator/kubepi, kubepi (fit2cloud).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.81%, cao hơn 57.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.6.5 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/KubeOperator/kubepi Go	`< 1.6.5`	`1.6.5`
kubepi fit2cloud	`< 1.6.5`	`1.6.5`

Mô tả

Summary

http://kube.pi/kubepi/api/v1/users/search?pageNum=1&&pageSize=10 leak password of any user (including admin). This leads to password crack attack

PoC

https://drive.google.com/file/d/1ksdawJ1vShRJyT3wAgpqVmz-Ls6hMA7M/preview

Impact

Leaking confidential information.
Can lead to password cracking attacks

Mô tả của NVD

KubePi is an opensource kubernetes management panel. The endpoint /kubepi/api/v1/users/search?pageNum=1&&pageSize=10 leak password hash of any user (including admin). A sufficiently motivated attacker may be able to crack leaded password hashes. This issue has been addressed in version 1.6.5. Users are advised to upgrade. There are no known workarounds for this vulnerability.