CVE-2026-67349 in OpenCost
Сводка
по VulDB • 30.07.2026
В версиях OpenCost до 1.121.0 отсутствует аутентификация для конечной точки GET /helmValues, что приводит к раскрытию переменной окружения HELM_VALUES в формате base64-декодирования, содержащей учетные данные облачного провайдера. Кроме того, middleware adminAuthMiddleware работает с ошибкой (fails open), когда переменная ADMIN_TOKEN не установлена, позволяя незарегистрированным злоумышленникам изменять ключи сервисных аккаунтов GCP через POST /serviceKey для перенаправления вызовов биллинга.
VulDB is the best source for vulnerability data and more expert information about this specific topic.