CVE-2026-27960

OpenCTI: privilege escalation umożliwiający dostęp jako dowolny użytkownik

CVSS 9.8v3.1pub. 2026-05-05upd. 2026-05-12

Podatność w platformie OpenCTI (wersje 6.6.0–6.9.12) pozwala nieuwierzytelnionemu atakującemu na wykonywanie zapytań do API jako dowolny istniejący użytkownik, w tym domyślne konto administratora. Ze względu na brak wymagań dotyczących uwierzytelnienia i pełny dostęp do konta admin, zagrożenie jest krytyczne.

▸ Pokaż oryginał (EN)

OpenCTI is an open source platform for managing cyber threat intelligence knowledge and observables. In versions 6.6.0 through 6.9.12, there is a privilege escalation vulnerability that can be exploited by unauthenticated attackers to query the API as any existing user, including the default admin account. This issue has been fixed in version 6.9.13. As a workaround, the default admin can be disabled using the `APP__ADMIN__EXTERNALLY_MANAGED` configuration.

🤖 Analiza AI

Jak działa

Błąd klasyfikowany jako CWE-287 (nieprawidłowe uwierzytelnienie) powoduje, że mechanizm weryfikacji tożsamości użytkownika można obejść bez podawania jakichkolwiek poświadczeń. Nieuwierzytelniony atakujący może podszyć się pod dowolne konto w systemie, w tym domyślne konto administratora, i wysyłać w jego imieniu zapytania do API platformy OpenCTI. Exploit nie wymaga interakcji ze strony ofiary ani szczególnych uprawnień sieciowych.

Skutki

Atakujący uzyskuje pełny dostęp do API platformy OpenCTI z uprawnieniami wybranego użytkownika, co w przypadku konta administratora oznacza możliwość odczytu, modyfikacji i usuwania wszelkich danych wywiadowczych (threat intelligence) oraz potencjalne przejęcie pełnej kontroli nad platformą.

Mitygacja

Należy zaktualizować OpenCTI do wersji 6.9.13, w której podatność została naprawiona. Jako tymczasowe obejście (workaround) można wyłączyć domyślne konto administratora poprzez ustawienie opcji konfiguracyjnej `APP__ADMIN__EXTERNALLY_MANAGED` na wartość odpowiadającą wyłączeniu tego konta.

Kogo dotyczy

OpenCTI w wersjach od 6.6.0 do 6.9.12 włącznie

Uwagi

Producent udostępnił oficjalne security advisory na GitHub: GHSA-6vvv-vmfr-xhrx. Workaround poprzez konfigurację `APP__ADMIN__EXTERNALLY_MANAGED` jest dostępny dla organizacji, które nie mogą natychmiast wdrożyć patcha.