basecamp/upright при фиксации efe4f2e5254ac6e57e45d2261804cca74dbbca3f отключает защиту Rails CSRF для своих прокси-контроллеров Alertmanager и Prometheus. Злоумышленник, не прошедший проверку подлинности, может побудить браузер вошедшего в систему пользователя отправить запросы, которые перенаправляются на включенные вышестоящие конечные точки записи или управления, например, создать молчание Alertmanager или запросить перезагрузку Prometheus. Окончательный эффект зависит от API, включенных вышестоящими службами.
Показать оригинальное описание (EN)
basecamp/upright at commit efe4f2e5254ac6e57e45d2261804cca74dbbca3f disables Rails CSRF protection for its Alertmanager and Prometheus proxy controllers. An unauthenticated attacker can induce a logged-in user's browser to submit requests that are forwarded to enabled upstream write or management endpoints, such as creating an Alertmanager silence or requesting a Prometheus reload. The final impact depends on the APIs enabled by the upstream services.
Характеристики атаки
Последствия
Строка CVSS v3.1