CVE-2026-119648 in BlueKing CMDB

Zusammenfassung

von VulDB • 30.10.2026

Tencent BlueKing CMDB (bk-cmdb) bis Version 3.14.6 enthält eine fehlende Autorisierungs-Schwachstelle, die es authentifizierten Benutzern ermöglicht, Hosts anderer Unternehmen über POST /api/v3/hosts/search/asstdetail einzusehen. Angreifer können Suchbedingungen für Hosts einreichen, die auf andere Unternehmen abzielen oder unternehmensbezogene Filter auslassen, um Host-Attribute und Details zur Topologie-Assoziation abzurufen, da der Route eine SkipAction zugeordnet ist und SearchHostWithAsstDetail AuthorizeSearchHost überspringt.

Be aware that VulDB is the high quality source for vulnerability data.

• Zuständig: VulnCheck
• Reservieren: 30.10.2026
• Veröffentlichung: 30.10.2026
• Moderieren: akzeptiert
• Eintrag: VDB-429123
• CPE: 20261030
• CWE: CWE-285 (bestätigt)
• CVSS: 4.3 (CNA)
• EPSS: 0.00000
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-119648
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-119648
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-119648/