CVE-2026-115804: Consul vulnerable to an authorization bypass in health check registration

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (HashiCorp). Не зависят от анализа CPE в NVD и обычно опережают его.

• HashiCorp Consul

  • 0.7.2 и новее · до 2.1.0затронута · semver

• HashiCorp Consul Enterprise

  • 0.7.2 и новее · до 2.1.0затронута · semverисправлено в 1.21.19

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-41805HashiCorp Consul Enterprise before 1.8.17, 1.9.x before 1.9.11, and 1.10.x before 1.10.4 has Incorrect Access Control.
  45В плане
• CVE-2026-105608Consul vulnerable to an authorization bypass in service mesh registration
  35Наблюдать
• CVE-2021-37219HashiCorp Consul and Consul Enterprise 1.10.1 Raft RPC layer allows non-server agents with a valid certificate signed by the same CA to acce
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-8802110 сент. 2026 г. · Consul vulnerable to an authorization bypass in the Connect service mesh
  28Наблюдать
• ← РаньшеCVE-2026-10562626 окт. 2026 г. · Consul vulnerable to a denial of service in HTTP APIs
  30Наблюдать
• ← РаньшеCVE-2026-10576526 окт. 2026 г. · Consul vulnerable to an authorization bypass in the agent's service mesh leaf certificate API
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.