CVE-2026-21994

CVE-2026-21994 概要 Oracle OKIT oci-designer-toolkit バージョン 0.3.0 には、連鎖して認証なしの完全乗っ取りにつながる2つの重大な設定ミスが存在します。公開リポジトリに公開されたハードコードされた Flask SECRETKEY により、攻撃者は資格情報を一切必要とせずに有効な管理者セッション Cookie を偽造できます。さらに、Docker イメージは SSH ホスト検証を完全に無効化しており、ネットワーク攻撃者がインフラストラクチャのデプロイ中に OCI API キーや秘密鍵を傍受できるようになっています。 脆弱性 1...