Vulnerabilidad · Publicado 18/10/2026
Vanus versiones 0.8.0 a 0.9.0 contiene credenciales administrativas hardcodeadas que permiten a atacantes no autenticados obtener acceso total al clúster mediante tokens Bearer fijos. Los atacantes pueden gestionar espacios de nombres, buses de eventos, usuarios, tokens y bindings de roles, además de leer o publicar eventos. Con CVSS 9.8, este vector afecta directamente infraestructuras de mensajería en empresas de LATAM que utilizan Vanus en producción sin aislamiento de red adecuado.
Vanus 0.8.0 through 0.9.0 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain cluster-admin access by using the hardcoded admin token. Attackers can send the fixed Bearer token to the gateway gRPC proxy port to manage namespaces, eventbuses, users, tokens, and role bindings, and read or publish events.
Score: 9.8/10 — Severidad: CRITICAL — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-1392
Publicado en NIST NVD.