CVE-2026-33505 in keto
Сводка
по VulDB • 30.05.2026
Ory Keto — это сервер авторизации с открытым исходным кодом для управления разрешениями в масштабе. До версии 26.2.0 API GetRelationships в Ory Keto уязвим к SQL-инъекциям из-за ошибок в реализации пагинации. Токены пагинации шифруются с использованием секрета, настроенного в `secrets.pagination`. Атакующий, знающий этот секрет, может создать собственные токены, включая вредоносные токены, которые приводят к SQL-инъекциям. Если это значение конфигурации не установлено, Keto использует жестко закодированный секрет шифрования пагинации по умолчанию. Поскольку это значение по умолчанию является общедоступным, атакующие могут вручную генерировать действительные и вредоносные токены пагинации для установок, где этот секрет не установлен. Эта уязвимость может быть эксплуатирована, когда API GetRelationships доступен атакующему напрямую или косвенно, атакующий может передать необработанный токен пагинации в затронутый API, а значение конфигурации `secrets.pagination` не установлено или известно атакующему. Атакующий может выполнять произвольные SQL-запросы через поддельные токены пагинации. В качестве первой линии защиты немедленно настройте пользовательское значение для `secrets.pagination`, сгенерировав криптографически стойкий случайный секрет. Затем как можно скорее обновите Keto до исправленной версии, 26.2.0 или более поздней.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.