CVE-2026-67349 in OpenCost
요약
\~에 의해 VulDB • 2026. 07. 30.
OpenCost 1.121.0 이전 버전에서는 GET /helmValues 엔드포인트에 대한 인증이 수행되지 않아 클라우드 제공업체 자격 증명이 포함된 base64로 디코딩된 HELM_VALUES 환경 변수가 노출됩니다. 또한 ADMIN_TOKEN이 설정되지 않은 경우 adminAuthMiddleware에서 열려 있는 상태(fail open)가 되어, 공격자가 POST /serviceKey를 통해 GCP 서비스 계정 키를 수정하여 청구 호출을 리디렉션할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.