CVE-2026-21994

CVE-2026-21994 摘要 Oracle OKIT（oci-designer-toolkit）版本 0.3.0 包含两个严重的错误配置，可串联导致未经身份验证的完全接管。公开仓库中暴露的硬编码 Flask SECRETKEY 允许任何攻击者伪造有效的管理员会话 Cookie——无需任何凭据。此外，Docker 镜像完全禁用了 SSH 主机验证，使网络攻击者能够在基础设施部署期间拦截 OCI API 密钥和私钥。 漏洞 1. 硬编码SECRETKEY — okitclassic/okitserver/config.py:4 root@kitploit:...