CVE-2026-121734 Exposición de información entre espacios de trabajo vía ReviewPreviewEnvDeployAPIView en ZaneOps
ZaneOps 1.14.0 antes de 1.15.2 contiene una vulnerabilidad de evasión de autorización que permite a cualquier administrador de un espacio de trabajo leer el entorno de preview pendiente de otro espacio consultando ReviewPreviewEnvDeployAPIView sin alcance de proyecto. Pueden usar el slug del proyecto y el nombre del entorno de comentarios públicos en pull requests de forks para obtener variables de entorno en texto plano y credenciales de basic-auth del preview.
CVSS 3.1
- CVSS 4.06.0 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
zane-ops
desde 1.14.0 hasta antes de 1.15.2
Qué hacer
- Verificá si usás zane-ops y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 6.0 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
ZaneOps 1.14.0 before 1.15.2 contains an authorization bypass vulnerability that allows any workspace administrator to read another workspace's pending preview environment by querying ReviewPreviewEnvDeployAPIView without project scoping. Attackers can use the project slug and environment name from public fork pull request comments to retrieve plaintext environment variables and preview basic-auth credentials.
Referencias (6)
- github.com/zane-ops/zane-ops/commit/0f3e30403a605dc155a664bc70722c74159a6494
- github.com/zane-ops/zane-ops
- github.com/zane-ops/zane-ops/security/advisories/GHSA-r87v-8542-wx9q
- github.com/zane-ops/zane-ops/blob/v1.15.1/backend/zane_api/views/environments.py#L246-L248
- github.com/zane-ops/zane-ops/releases/tag/v1.15.2
- www.vulncheck.com/advisories/zaneops-1.14.0-before-1.15.2-cross-workspace-information-dis…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.