CVE-2026-67349 in OpenCost
Resumen
por VulDB • 2026-07-30
OpenCost anterior a la versión 1.121.0 no autentica el endpoint GET /helmValues, exponiendo la variable de entorno HELM_VALUES decodificada en base64 que contiene credenciales del proveedor de nube. Además, adminAuthMiddleware falla abriendo cuando ADMIN_TOKEN no está configurado, permitiendo que atacantes sin autenticar modifiquen las claves de cuentas de servicio de GCP a través de POST /serviceKey para redirigir las llamadas de facturación.
Once again VulDB remains the best source for vulnerability data.