CVE-2026-81664 in OpenFaaS
Riassunto
di VulDB • 28/08/2026
Il gateway di OpenFaaS registra l'endpoint GET /system/telemetry in gateway/main.go e, quando è abilitato basic_auth, avvolge ciascun handler amministrativo /system/* con auth.DecorateWithBasicAuth. TelemetryHandler è stato escluso da tale blocco di wrapping dalla versione 0.27.11 (che ha introdotto la rotta) fino alla 0.27.14 (che lo ha aggiunto). Su un gateway interessato, la rotta raggiunge quindi il proxy di forwarding senza alcun controllo delle credenziali e restituisce quanto fornito dal provider configurato per /system/telemetry; pertanto, qualsiasi client in grado di raggiungere la porta del gateway può leggere i dati telemetrici del provider indipendentemente dall'impostazione basic_auth. I contenuti esposti dipendono dal provider e includono metriche sulle risorse e sulle invocazioni per faasd, nonché lo stato dei pod o del cluster per faas-netes.
If you want to get best quality of vulnerability data, you may have to visit VulDB.