Plataforma
linux
Componente
feast-feature-server
Uma vulnerabilidade de Acesso Arbitrário de Arquivos foi descoberta no Feast Feature Server, especificamente no endpoint /read-document. Essa falha permite que um atacante remoto não autenticado leia qualquer arquivo acessível ao processo do servidor. A exploração bem-sucedida pode resultar na exposição de informações confidenciais, como arquivos de configuração e credenciais, comprometendo a segurança do sistema.
A vulnerabilidade permite que um atacante remoto, sem necessidade de autenticação, acesse e leia arquivos no sistema onde o Feast Feature Server está rodando. Isso inclui arquivos de configuração, chaves de API, senhas e outros dados sensíveis que podem ser utilizados para obter acesso não autorizado a outros sistemas ou dados. O impacto potencial é alto, pois a exposição de credenciais pode levar a um comprometimento completo do ambiente. A ausência de autenticação torna a exploração particularmente fácil, e a capacidade de ler arquivos arbitrários amplia significativamente o escopo do ataque. Um atacante pode usar essa vulnerabilidade para obter informações sobre a infraestrutura, identificar outros pontos de ataque ou até mesmo executar código malicioso se arquivos executáveis forem acessíveis.
A vulnerabilidade foi divulgada em 2026-03-20. Não há informações disponíveis sobre a inclusão em KEV ou a existência de um EPSS score. Atualmente, não há um Proof of Concept (PoC) publicamente disponível, mas a natureza da vulnerabilidade sugere que a exploração é relativamente simples e pode ser facilmente desenvolvida. É importante monitorar a situação e implementar as medidas de mitigação recomendadas para evitar a exploração.
Organizations deploying Feast Feature Server in production environments are at risk. Specifically, those running unpatched instances or those with limited access controls around the /read-document endpoint are particularly vulnerable. Shared hosting environments where Feast Feature Server is deployed alongside other applications may also be at increased risk due to potential cross-tenant access.
• linux / server:
journalctl -u feast-feature-server -g "/read-document"• generic web:
curl -I <feast_feature_server_url>/read-document• generic web:
grep -r "/read-document" /var/log/nginx/access.logdisclosure
Status do Exploit
EPSS
0.09% (percentil 25%)
CISA SSVC
Vetor CVSS
A mitigação imediata envolve a implementação de restrições de acesso rigorosas ao endpoint /read-document. Valide e sanitize todas as entradas do usuário para garantir que apenas arquivos autorizados sejam acessados. Considere desabilitar o endpoint se não for essencial para a funcionalidade do sistema. Implementar um Web Application Firewall (WAF) com regras para bloquear solicitações maliciosas direcionadas ao endpoint pode fornecer uma camada adicional de proteção. Monitore os logs do servidor em busca de tentativas de acesso não autorizado e configure alertas para detectar atividades suspeitas. Assim que uma versão corrigida for lançada, atualize o Feast Feature Server imediatamente.
Actualice Red Hat OpenShift AI (RHOAI) a la última versión disponible. Esto solucionará la vulnerabilidad de lectura de archivos arbitrarios no autenticada en el Feast Feature Server.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-23536 is a HIGH severity vulnerability allowing unauthenticated attackers to read files on a Feast Feature Server. It impacts versions prior to the patch release, potentially exposing sensitive data.
If you are running Feast Feature Server prior to the patched version, you are potentially affected. Assess your deployment and upgrade as soon as possible.
The primary fix is to upgrade to the latest patched version of Feast Feature Server. Until then, consider WAF rules or access control restrictions.
As of now, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation warrants immediate attention.
Refer to the official Feast Feature Server security advisories on their website or GitHub repository for the latest information and patch details.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.