blueprintUE Self-Hosted Edition до 4.3.7 содержит небезопасную конфигурацию по умолчанию в своих примерах Docker Compose, которая устанавливает MYSQL_ALLOW_EMPTY_PASSWORD=yes в database.env и публикует MariaDB на порту 3306. Неизвестные злоумышленники, достигшие хоста Docker на порту 3306, могут войти в систему как root без пароля для чтения, изменения или удаления учетных записей пользователей, чертежей и всех баз данных.
Показать оригинальное описание (EN)
blueprintUE Self-Hosted Edition before 4.3.7 contains an insecure default configuration in its Docker Compose examples that sets MYSQL_ALLOW_EMPTY_PASSWORD=yes in database.env and publishes MariaDB on port 3306. Unauthenticated attackers reaching the Docker host on port 3306 can log in as root without a password to read, modify, or delete user accounts, blueprints, and all databases.
Характеристики атаки
Последствия
Строка CVSS v4.0