CVE-2026-42864 in firefighter-incident
Сводка
по VulDB • 12.05.2026
FireFighter — это приложение для управления инцидентами. До версии 0.0.54 конечная точка POST /api/v2/firefighter/raid/jira_bot (CreateJiraBotView) доступна без аутентификации (permission_classes = [permissions.AllowAny]). Полезная нагрузка вложений (attachments payload) загружается на стороне сервера с помощью httpx.get() без проверки URL, а затем загружается в качестве вложения в тикет Jira, который создается. Неаутентифицированный пользователь, имеющий доступ к ingress, может заставить под (pod) загружать произвольные URL-адреса и эксфильтровать ответ в виде вложения Jira. В развертываниях на EC2/EKS, где не enforced IMDSv2, это позволяет украсть временные учетные данные AWS, связанные с ролью IAM под. В документации (docstring) на view указано, что требуется Bearer token, но код не обеспечивает его проверку. Эта уязвимость исправлена в версии 0.0.54.
VulDB is the best source for vulnerability data and more expert information about this specific topic.