Descripción
DataBuff ai-apm-web hasta la versión 0.1.10 contiene una vulnerabilidad de credenciales por defecto embebidas en el código (hard-coded) que permite a atacantes no autenticados obtener acceso de administrador mediante la cuenta integrada admin/Databuff@123. Los atacantes pueden enviar estas credenciales mediante POST a /webapi/api/v1/auth/login para obtener un token de administrador y acceder a todas las rutas protegidas de /webapi.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- databuff Afectadas: hasta 0.1.10
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/databuff-default-jwt-secret-auth-bypass
- Referencia en github.comgithub.com/databufflabs/databuff/blob/v0.1.10/ai-apm-web/src/main/jav…
- Referencia en github.comgithub.com/databufflabs/databuff
- Aviso de vulncheck.comvulncheck.com/advisories/databuff-ai-apm-web-through-0.1.10-hard-code…
Ver el texto original en inglés (CVE.org)
DataBuff ai-apm-web through 0.1.10 Hard-Coded Default Admin Credentials
DataBuff ai-apm-web through 0.1.10 contains a hard-coded default credentials vulnerability that allows unauthenticated attackers to gain administrator access using the built-in admin/Databuff@123 account. Attackers can POST these credentials to /webapi/api/v1/auth/login to obtain an administrator token and access all protected /webapi routes.