CVE-2026-33505 in keto
Résumé
par VulDB • 30/05/2026
Ory Keto est un serveur d'autorisation open source permettant de gérer les permissions à grande échelle. Avant la version 26.2.0, l'API GetRelationships d'Ory Keto est vulnérable à une injection SQL en raison de failles dans son implémentation de la pagination. Les jetons de pagination sont chiffrés à l'aide du secret configuré dans `secrets.pagination`. Un attaquant qui connaît ce secret peut fabriquer ses propres jetons, y compris des jetons malveillants qui entraînent une injection SQL. Si cette valeur de configuration n'est pas définie, Keto utilise par défaut un secret de chiffrement de pagination codé en dur. Étant donné que cette valeur par défaut est publiquement connue, les attaquants peuvent générer manuellement des jetons de pagination valides et malveillants pour les installations où ce secret n'est pas défini. Cette vulnérabilité peut être exploitée lorsque l'API GetRelationships est accessible directement ou indirectement par l'attaquant, que l'attaquant peut transmettre un jeton de pagination brut à l'API concernée, et que la valeur de configuration `secrets.pagination` n'est pas définie ou n'est pas connue de l'attaquant. Un attaquant peut exécuter des requêtes SQL arbitraires via des jetons de pagination falsifiés. En tant que première ligne de défense, configurez immédiatement une valeur personnalisée pour `secrets.pagination` en générant un secret aléatoire cryptographiquement sûr. Ensuite, mettez à niveau Keto vers une version corrigée, 26.2.0 ou ultérieure, dès que possible.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.