CVE-2025-53106 in graylog2-server
要約
〜によって VulDB • 2026年06月06日
Graylogは、無料かつオープンソースのログ管理プラットフォームです。バージョン6.2.0から6.2.4未満、および6.3.0-alpha.1から6.3.0-rc.2未満のバージョンでは、Graylogユーザーは、ローカルのAdministratorまたは攻撃者がIDを知っている他のユーザーのためにAPIトークンを作成して使用することで、権限を昇格させることができます。攻撃が成功するためには、攻撃者にGraylog内のユーザーアカウントが必要です。その後、攻撃者はGraylog REST APIに対して手で作成したリクエストを発行し、トークン作成時の弱い権限チェックを悪用することができます。この問題は、バージョン6.2.4および6.3.0-rc.2で修正されています。回避策としては、System > Configuration > Users > "Allow users to create personal access tokens"にある対応する設定を無効にすることが挙げられます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.