Tóm tắt nhanh
- CVE-2026-63131 là lỗ hổng mức TRUNG BÌNH (CVSS 6.0) ảnh hưởng github.com/openbao/openbao.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.48%, cao hơn 41.7% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.0.0-20260713133043-f58d848c139e hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| github.com/openbao/openbao Go | ≥ 0.1.0, ≤ 1.1.5≥ 0.1.0< 0.0.0-20260713133043-f58d848c139e
| 0.0.0-20260713133043-f58d848c139e
|
Mô tả
Impact
When a policy operator has written capabilities = ["deny"] on a path with a trailing wildcard but allowed a broader list operation (e.g., a deny on secrets/metadata/restricted/* but allowed list on secrets/metadata/*), OpenBao would incorrectly allow the operation. This did not impact other operation types.
Patches
This has been patched in OpenBao v2.6.0.
Mô tả của NVD
OpenBao is an open source identity-based secrets management system. Prior to 2.6.0, OpenBao's vault/policy/acl.go could evaluate a broader wildcard ACL grant before more-specific trailing-wildcard ACL paths with capabilities = ["deny"] for a LIST operation. When a parent path permitted LIST and a child path was denied, the trailing-slash lookup could therefore allow listing the denied path. Other operation types are outside the repository advisory's affected scope. This issue is fixed in version 2.6.0.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí