Plateforme
linux
Composant
feast-feature-server
Une vulnérabilité d'accès arbitraire de fichiers a été découverte dans le Feast Feature Server, plus précisément via son endpoint /read-document. Cette faille permet à un attaquant distant non authentifié de contourner les restrictions d'accès et de lire des fichiers accessibles au processus du serveur. Bien que les versions affectées ne soient pas explicitement mentionnées, il est crucial de mettre à jour Feast Feature Server dès que possible pour atténuer ce risque.
L'impact de cette vulnérabilité est significatif car elle permet à un attaquant de lire n'importe quel fichier accessible au processus du Feast Feature Server. Cela inclut potentiellement des fichiers de configuration sensibles, des clés d'API, des mots de passe, et même des données de l'application elle-même. Un attaquant pourrait exploiter cette faille pour obtenir des informations confidentielles, compromettre davantage le système, ou même exécuter du code malveillant si les fichiers compromis contiennent des scripts ou des configurations exécutables. Cette vulnérabilité présente un risque élevé de divulgation de données et de compromission du système.
La vulnérabilité CVE-2026-23536 a été rendue publique le 20 mars 2026. Aucune preuve d'exploitation active n'est actuellement disponible, mais la nature de la vulnérabilité (accès arbitraire de fichiers) la rend potentiellement attractive pour les attaquants. Il n'y a pas d'indication qu'elle ait été ajoutée au KEV (CISA Known Exploited Vulnerabilities) à ce jour. Des preuves de concept (PoC) pourraient émerger rapidement, rendant l'exploitation plus accessible.
Organizations deploying Feast Feature Server in production environments are at risk. Specifically, those running unpatched instances or those with limited access controls around the /read-document endpoint are particularly vulnerable. Shared hosting environments where Feast Feature Server is deployed alongside other applications may also be at increased risk due to potential cross-tenant access.
• linux / server:
journalctl -u feast-feature-server -g "/read-document"• generic web:
curl -I <feast_feature_server_url>/read-document• generic web:
grep -r "/read-document" /var/log/nginx/access.logdisclosure
Statut de l'Exploit
EPSS
0.09% (percentile 25%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à appliquer la dernière version de Feast Feature Server, qui inclura une correction pour cette vulnérabilité. En attendant la mise à jour, il est possible de mettre en place des mesures temporaires. Il est fortement recommandé de restreindre l'accès au endpoint /read-document via un pare-feu ou un proxy inverse, en limitant les adresses IP autorisées à y accéder. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte liée à cet endpoint. Si possible, désactivez temporairement l'endpoint /read-document jusqu'à ce que la mise à jour puisse être appliquée.
Actualice Red Hat OpenShift AI (RHOAI) a la última versión disponible. Esto solucionará la vulnerabilidad de lectura de archivos arbitrarios no autenticada en el Feast Feature Server.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-23536 is a HIGH severity vulnerability allowing unauthenticated attackers to read files on a Feast Feature Server. It impacts versions prior to the patch release, potentially exposing sensitive data.
If you are running Feast Feature Server prior to the patched version, you are potentially affected. Assess your deployment and upgrade as soon as possible.
The primary fix is to upgrade to the latest patched version of Feast Feature Server. Until then, consider WAF rules or access control restrictions.
As of now, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation warrants immediate attention.
Refer to the official Feast Feature Server security advisories on their website or GitHub repository for the latest information and patch details.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.