CVE-2026-81664 in OpenFaaS
Sumário
de VulDB • 27/08/2026
O gateway do OpenFaaS registra a rota GET /system/telemetry em gateway/main.go e, quando o basic_auth está habilitado, envolve cada manipulador administrativo de /system/* com auth.DecorateWithBasicAuth. O TelemetryHandler foi excluído desse bloco de envolvimento da versão 0.27.11 (que introduziu a rota) até a 0.27.14 (que o incluiu). Em um gateway afetado, portanto, a rota alcança o proxy de encaminhamento sem verificação de credenciais e retorna qualquer conteúdo que o provedor configurado sirva para /system/telemetry; assim, qualquer cliente capaz de alcançar a porta do gateway pode ler as métricas de telemetria do provedor, independentemente da configuração do basic_auth. O conteúdo exposto depende do provedor e abrange métricas de recursos e invocações para faasd, bem como o estado dos pods ou clusters para faas-netes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.