CVSS: 5.7EPSS: %CPEs: 2EXPL: 0CVE-2024-11165
https://notcve.org/view.php?id=CVE-2024-11165
An information disclosure vulnerability exists in the backup configuration process where the SAS token is not masked in the configuration response. This oversight results in sensitive information leakage within the yb_backup log files, exposing the SAS token in plaintext. The leakage occurs during the backup procedure, leading to potential unauthorized access to resources associated with the SAS token. This issue affects YugabyteDB Anywhere: from 2.20.0.0 before 2.20.7.0, from 2.23.0.0 before 2.23.1.0, from 2024.1.0.0 before 2024.1.3.0. • https://github.com/yugabyte/yugabyte-db/commit/920989b6c0db0222bb7a0cce46febc76cf72d438 • CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 6.0EPSS: 0%CPEs: 4EXPL: 0CVE-2024-6908 – Admin Can Escalate Privileges to SuperAdmin Using Manual PUT Request
https://notcve.org/view.php?id=CVE-2024-6908
Improper privilege management in Yugabyte Platform allows authenticated admin users to escalate privileges to SuperAdmin via a crafted PUT HTTP request, potentially leading to unauthorized access to sensitive system functions and data. La gestión inadecuada de privilegios en la plataforma Yugabyte permite a los usuarios administradores autenticados escalar privilegios a SuperAdmin a través de una solicitud HTTP PUT manipulada, lo que podría conducir a un acceso no autorizado a funciones y datos confidenciales del sistema. • https://github.com/yugabyte/yugabyte-db/commit/03b193de40b79329439bb9968a7d27a1cc57d662 https://github.com/yugabyte/yugabyte-db/commit/68f01680c565be2a370cfb7734a1b3721d6778bb • CWE-269: Improper Privilege Management •
CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2024-6895 – Insecure Account Profile Management
https://notcve.org/view.php?id=CVE-2024-6895
Insufficient authentication in user account management in Yugabyte Platform allows local network attackers with a compromised user session to change critical security information without re-authentication. An attacker with user session and access to application can modify settings such as password and email without being prompted for the current password, enabling account takeover. La autenticación insuficiente en la gestión de cuentas de usuario en la plataforma Yugabyte permite a los atacantes de la red local con una sesión de usuario comprometida cambiar información de seguridad crítica sin volver a autenticarse. Un atacante con sesión de usuario y acceso a la aplicación puede modificar configuraciones como la contraseña y el correo electrónico sin que se le solicite la contraseña actual, lo que permite la apropiación de la cuenta. • https://github.com/yugabyte/yugabyte-db/commit/9687371d8777f876285b737a9d01995bc46bafa5 • CWE-306: Missing Authentication for Critical Function •
CVSS: 5.4EPSS: 0%CPEs: 2EXPL: 0CVE-2024-0006 – DB User Password Leak in Application Log
https://notcve.org/view.php?id=CVE-2024-0006
Information exposure in the logging system in Yugabyte Platform allows local attackers with access to application logs to obtain database user credentials in log files, potentially leading to unauthorized database access. La exposición de información en el sistema de registro de Yugabyte Platform permite a atacantes locales con acceso a los registros de aplicaciones obtener credenciales de usuario de la base de datos en archivos de registro, lo que podría conducir a un acceso no autorizado a la base de datos. • https://github.com/yugabyte/yugabyte-db/commit/439c6286f1971f9ac6bff2c7215b454c2025c593 https://github.com/yugabyte/yugabyte-db/commit/5cc7f4e15d6ccccbf97c57946fd0aa630f88c9e2 https://github.com/yugabyte/yugabyte-db/commit/d96e6b629f34d065b47204daeeb44064e484c579 • CWE-532: Insertion of Sensitive Information into Log File •