Vulnerabilidad · Publicado 18/10/2026
Vanus versiones 0.8.0 a 0.9.0 contienen una falla de autorización en el gateway que permite a usuarios autenticados ejecutar métodos Subscribe, Ack y no registrados sin validación de permisos. Un atacante puede secuestrar suscripciones de otros inquilinos, leer y reconocer eventos, bloquear consumidores legítimos, y enumerar usuarios del clúster. Esto afecta principalmente a infraestructuras de event streaming en datacenters de LATAM y plataformas en la nube.
Vanus 0.8.0 through 0.9.0 contains a missing authorization vulnerability in the gateway that allows any authenticated user to call Subscribe, Ack, and unregistered methods without permission checks. Attackers can supply another tenant's subscription ID to Subscribe to hijack it, read and acknowledge its events, starve the legitimate consumer, and enumerate cluster users via ListUser.
Score: 7.6/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
CWE-862
Publicado en NIST NVD.