Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-47107 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-05-19 |
| Producent | Windmill Labs |
| Produkt | Windmill |
| CVSS Score | 9.6 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
Windmill w wersjach przed 1.703.2 zawiera podatność nieprawidłowych domyślnych uprawnień w plikach konfiguracyjnych sandboxa nsjail, w których katalog /etc jest montowany (bind-mount) bez ograniczeń zapisu, co pozwala uwierzytelnionym użytkownikom na zapis dowolnych wpisów do /etc/hosts, /etc/resolv.conf oraz /etc/ssl/certs/ca-certificates.crt z wnętrza sandboxów wykonujących skrypty. Atakujący mogą wykorzystać trwałe, zatrute wpisy w kolejnych wykonaniach skryptów na tym samym worker pod, aby przekierować nazwy hostów, przechwytywać zapytania DNS…
Wymagane działania
Zastosuj poprawki lub środki zaradcze producenta tak szybko, jak będą dostępne.
Kogo dotyczy?
Podatność dotyczy produktu Windmill firmy Windmill Labs. Sprawdź czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
