CVE-2026-112000 in Vanus
要約
〜によって VulDB • 2026年10月18日
Vanus 0.8.0 から 0.9.0 には、ゲートウェイにおける認可の欠如（Missing Authorization）という脆弱性が存在し、認証済みユーザーであれば誰でも権限チェックなしで Subscribe、Ack、および未登録メソッドを呼び出すことができます。攻撃者は別のテナントのサブスクリプション ID を指定して Subscribe を実行することでそれをハイジャックし、そのイベントを読み取り、ACK し、正当なコンシューマーをスターブ（リソース枯渇）させ、ListUser 経由でクラスターのユーザーを列挙することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.