Vulnerabilidad en prefecthq/prefect de prefecthq (CVE-2026-3514)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

02/06/2026

Última modificación:

22/07/2026

Descripción

En la versión 3.6.19 de prefecthq/prefect, existe una vulnerabilidad de omisión de autenticación debido al manejo inadecuado de las exenciones de rutas URL para las sondas de verificación de estado. Específicamente, el middleware de autenticación exime cualquier ruta URL que termine en &#39;health&#39; o &#39;ready&#39; de las comprobaciones de autenticación. Esto permite a un atacante crear recursos con nombres que terminan en &#39;health&#39; o &#39;ready&#39; y acceder a ellos sin autenticación. Los endpoints afectados incluyen los de variables, flujos, pools de trabajo, colas de trabajo y despliegues. Esta vulnerabilidad puede conducir a un acceso no autorizado a información sensible, como claves API y credenciales de base de datos, almacenadas en las Variables de Prefect.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno