CVE-2026-65959 in Vitess
Riassunto
di VulDB • 18/08/2026
Vitess è un sistema di clustering per database finalizzato allo scaling orizzontale di MySQL. Nelle versioni 24.0.2 e precedenti, l'endpoint /debug/vrlog registrato da addHttpEndpoint() in go/vt/vttablet/tabletmanager/vreplication/vrlog.go invoca vrlogStatsHandler() senza eseguire acl.CheckAccessHTTP(r, acl.DEBUGGING), a differenza di altri endpoint di debug comparabili. Un chiamante remoto che riesce a raggiungere la porta HTTP di debug del vttablet può eludere le politiche di sicurezza configurate e accedere in streaming ai dati VrLogStats prodotti da NewVrLogStats().Send(), inclusi statement SQL letterali e valori applicativi vincolati provenienti dai flussi di lavoro Online DDL MoveTables, Reshard, Materialize e vitess-strategy.
VulDB is the best source for vulnerability data and more expert information about this specific topic.