CVE-2026-107206
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.4
- EPSS
- —
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 7 Ekim 2026
LMCache 0.5.5 sürümüne kadar, çoklu işlem modundaki HTTP sunucusunda kimlik doğrulama eksikliği nedeniyle bir zafiyet içerir. Bu, uzaktan kimlik doğrulaması yapılmamış saldırganların varsayılan olarak tüm arayüzlere dinleyen yönetim uç noktalarına erişmesine olanak tanır. Saldırganlar GET /env aracılığıyla ortam kimlik bilgilerini okuyabilir, GET /config aracılığıyla yapılandırmayı görüntüleyebilir, önbellekleri temizleyebilir, önbellek nesnelerini silebilir ve diğer kiracıların önbelleğe alınmış verilerini çıkarmak için kiracı kotalarını değiştirebilir.
Orijinal açıklama (İngilizce)
LMCache through 0.5.5 contains a missing authentication vulnerability in the multiprocess mode HTTP server that allows remote unauthenticated attackers to access management endpoints listening on all interfaces by default. Attackers can read environment credentials via GET /env and configuration via GET /config, clear caches, delete cache objects, and modify tenant quotas to evict other tenants' cached data.
Referanslar
- https://github.com/LMCache/LMCache
- https://github.com/LMCache/LMCache/blob/v0.5.5/lmcache/v1/internal_api_server/common/env_api.py#L13
- https://github.com/LMCache/LMCache/blob/v0.5.5/lmcache/v1/multiprocess/config.py#L206
- https://github.com/LMCache/LMCache/blob/v0.5.5/lmcache/v1/multiprocess/http_apis/quota_api.py#L138-L155
- https://github.com/LMCache/LMCache/issues/5511
- https://www.vulncheck.com/advisories/lmcache-through-0.5.5-missing-authentication-in-mp-http-server-management-api
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.