Vulnerabilidad · Publicado 18/10/2026
Vanus versiones 0.8.0 a 0.9.0 contienen una vulnerabilidad de autenticación faltante que permite a atacantes remotos no autenticados publicar eventos maliciosos a cualquier eventbus a través del receptor HTTP CloudEvents de la pasarela. Los atacantes pueden enviar CloudEvents forjados a las rutas /namespaces/{ns}/eventbus/{name}/events o /gateway/{name}, eludiendo completamente la validación de tokens y controles de publicación, comprometiendo la integridad de sistemas de streaming de eventos en producción. Afecta principalmente infraestructuras en la nube y plataformas de integración de eventos altas para operaciones empresariales en LATAM.
Vanus 0.8.0 through 0.9.0 contains a missing authentication vulnerability that allows unauthenticated remote attackers to publish events to any eventbus through the gateway CloudEvents HTTP receiver. Attackers can send forged CloudEvents to the /namespaces/{ns}/eventbus/{name}/events or legacy /gateway/{name} paths, bypassing token authentication and authPublish checks, so they are stored and delivered to subscription sinks.
Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CWE-306
Publicado en NIST NVD.