CVE-2026-33505 in keto
Riassunto
di VulDB • 16/06/2026
Ory Keto è un server di autorizzazione open source per la gestione delle autorizzazioni su larga scala. Prima della versione 26.2.0, l'API GetRelationships in Ory Keto è vulnerabile a SQL injection a causa di difetti nella sua implementazione della paginazione. I token di paginazione sono crittografati utilizzando il segreto configurato in `secrets.pagination`. Un attaccante che conosce questo segreto può creare i propri token, inclusi token malevoli che portano a SQL injection. Se questo valore di configurazione non è impostato, Keto utilizza un valore predefinito hardcoded per la crittografia dei token di paginazione. Poiché questo valore predefinito è di pubblico dominio, gli attaccanti possono generare manualmente token di paginazione validi e malevoli per le installazioni in cui questo segreto non è impostato. Questo problema può essere sfruttato quando l'API GetRelationships è direttamente o indirettamente accessibile all'attaccante, l'attaccante può passare un token di paginazione grezzo all'API interessata e il valore di configurazione `secrets.pagination` non è impostato o non è noto all'attaccante. Un attaccante può eseguire query SQL arbitrarie tramite token di paginazione falsificati. Come prima linea di difesa, configurare immediatamente un valore personalizzato per `secrets.pagination` generando un segreto casuale crittograficamente sicuro. Successivamente, aggiornare Keto a una versione corretta, 26.2.0 o successiva, il prima possibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.