Kestrel
대시보드로 돌아가기
CVE-2026-81662UNKNOWNMITRENVD대응게시일: 2026. 08. 27.수정일: 2026. 08. 28.CNA: 5a6e4751-2f3f-4070-9419-94fb35b644e8Deferred

Affected versions of Flowintel improperly trust configuration keys supplied to the alerts settings update endpoint. While configuration valu

RCE

위협 신호 · CVSS · EPSS · KEV

정기 패치· 높은 악용 신호 없음
CVSS
unknown

이론적 심각도 점수

EPSS
0.3%상위 76.3%

30일 내 악용 확률 예측

KEV
미등재

실측 악용 기록 없음

권장 대응 기한60일 이내CISA SSVC 기준

계획된 패치 주기 내 조치(60일 이내)

외부 노출· KEV 미등재 · 자동화 어려움 · 부분 영향 · 외부 노출

CVSS 벡터 · 메트릭

버전별 점수
CVSS 4.08.6HIGH· 악용성숙도 NOT_DEFINED

CVSS 벡터 정보 없음

약점 (CWE)

  • CWE-20

    부적절한 입력 검증 — 입력값 검증 부족으로 다양한 후속 공격에 노출.

  • CWE-94

    코드 인젝션 — 입력이 코드로 해석·실행되어 임의 코드 실행.

상세 설명

Affected versions of Flowintel improperly trust configuration keys supplied to the alerts settings update endpoint. While configuration values were normalized to Python literals, the corresponding keys were used directly when constructing and replacing lines in conf/config_module.py.

The vulnerable code used requester-controlled keys in both the regular expression and the generated assignment:

f'{key} = {py_val}'

and appended an assignment if the key was not already present. The modified Python configuration module was subsequently reloaded using importlib.reload(). This creates a code-generation boundary in which specially crafted configuration keys can alter the Python source structure and result in execution of attacker-controlled Python statements.

Version impacted >=3.3.0

AI 심층 분석

공격 시나리오 · 재현 가능한 PoC 페이로드 · 즉시 적용 가능한 차단 패치를 한 번에 받아 보세요. 보안 운영팀이 그대로 점검·티켓팅에 쓸 수 있는 형태로 정리해 드립니다.