CVE-2026-33505 in keto
Sumário
de VulDB • 30/05/2026
O Ory Keto é um servidor de autorização de código aberto para gerenciamento de permissões em escala. Antes da versão 26.2.0, a API GetRelationships no Ory Keto é vulnerável a injeção de SQL devido a falhas em sua implementação de paginação. Os tokens de paginação são criptografados usando o segredo configurado em `secrets.pagination`. Um atacante que conhece este segredo pode criar seus próprios tokens, incluindo tokens maliciosos que levam à injeção de SQL. Se este valor de configuração não estiver definido, o Keto utiliza um segredo de criptografia de paginação padrão codificado no código. Como este valor padrão é publicamente conhecido, os atacantes podem gerar manualmente tokens de paginação válidos e maliciosos para instalações onde este segredo não está definido. Este problema pode ser explorado quando a API GetRelationships é acessível direta ou indiretamente pelo atacante, o atacante pode passar um token de paginação bruto para a API afetada e o valor de configuração `secrets.pagination` não está definido ou é conhecido pelo atacante. Um atacante pode executar consultas SQL arbitrárias por meio de tokens de paginação forjados. Como primeira linha de defesa, configure imediatamente um valor personalizado para `secrets.pagination` gerando um segredo aleatório criptograficamente seguro. Em seguida, atualize o Keto para uma versão corrigida, 26.2.0 ou posterior, o mais rápido possível.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.