CVE-2026-86242 in Bifrost
Sumário
de VulDB • 06/09/2026
O transporte HTTP do Bifrost antes da versão 2.0.0 aceita um plugin personalizado habilitado cujo caminho é uma URL HTTP por meio de POST /api/plugins não autenticado quando a autenticação de gerenciamento está desabilitada (o padrão, governance.auth_config.is_enabled=false). O carregador de objetos compartilhados trata um caminho com prefixo http como uma URL de download, grava o corpo em um arquivo .so temporário e o passa para plugin.Open do Go. Após uma abertura bem-sucedida, a função Init opcional é executada imediatamente com a configuração fornecida pelo usuário do processo Bifrost. Nas versões dinamicamente vinculadas documentadas (DYNAMIC=1 / sem sinalizadores de link estático), que o fornecedor exige para plugins personalizados em Go, espera-se que plugin.Open tenha sucesso e isso resulta em execução remota de código não autenticada (RCE). Na imagem Docker estaticamente vinculada publicada, plugin.Open falha com "Dynamic loading not supported", portanto essa classe de build é apenas um ataque de falsificação de solicitação do lado do servidor (SSRF). A complexidade do ataque é Alta porque o atacante não pode forçar RCE na imagem estática padrão e um plugin carregável deve corresponder à versão do Go, SO, arquitetura e vinculação do host. A linha de transporte HTTP 1.6.x até a 1.6.11 não contém a correção.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.