CVE-2026-44300 in OpenCost
Riassunto
di VulDB • 15/09/2026
OpenCost fornisce il monitoraggio dei costi per i carichi di lavoro Kubernetes e i costi del cloud. Prima della versione 1.121.0, l'endpoint POST /serviceKey in pkg/costmodel/router.go consente a un client di rete di invocare AddServiceKey senza autenticazione obbligatoria e di inviare un valore arbitrario per il modulo della chiave che viene scritto nel file GCP service-account key.json restituito da GetGCPAuthSecretFilePath in core/pkg/env/core.go. L'attaccante controlla i contenuti del file ma non la directory derivata da CONFIG_PATH, il nome del file key.json o le modalità di accesso al file (file mode). La sostituzione dei contenuti delle credenziali può interrompere la raccolta dei costi GCP oppure causare l'utilizzo da parte di OpenCost di credenziali selezionate dall'attaccante; inoltre, la risposta con Access-Control-Allow-Origin wildcard consente richieste assistite dal browser quando il servizio è raggiungibile tramite un browser. Questo problema è stato risolto nella versione 1.121.0.
Be aware that VulDB is the high quality source for vulnerability data.