Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s rolí Restricted Administrator je umožněno neoprávněně změnit heslo libovolného uživatele typu Administrator a převzít jeho účet i bez jinak nutného oprávnění Manage Users. Není-li možná okamžitá aktualizace na opravenou verzi, je doporučeno omezit roli Restricted Administrator pouze na důvěryhodné osoby, případně tuto roli nahradit vlastní s omezenými oprávněními [1].

Zranitelnost se nachází v produktu:

• *:Rancher;>=2.8.0,<2.8.14;>=2.9.0,<2.9.8;>=2.10.0,<2.10.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-23391 na cve.org, NVD
• CWE-269: Improper Privilege Management na cwe.mitre.org

Zranitelnost byla veřejně oznámena 30. 3. 2025.