CVE-2022-36110highCWE-1220CWE-285

CVE-2022-36110: fallo de gravedad alta en gravitl netmaker

Netmaker vulnerable to Insufficient Granularity of Access Control

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear netmaker+ Monitorear github.com/gravitl/netmaker

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 0.9%
En resumen

Netmaker permitía que usuarios sin privilegios de administrador ejecutaran acciones de administrador a través de la API usando sus tokens de autenticación. Esto significa que alguien sin permiso de admin podría obtener control total sobre la configuración de red y otras operaciones sensibles.

Detalle técnico

Netmaker anterior a la versión 0.15.1 sufre de autorización inadecuada en los endpoints de la API, permitiendo que usuarios autenticados sin privilegios ejecuten funciones de nivel administrador. La vulnerabilidad resulta de falta de granularidad en el control de acceso (CWE-1220, CWE-285), donde las verificaciones de autorización de la API fallan en validar correctamente los privilegios del usuario antes de ejecutar operaciones sensibles, resultando en escalada de privilegios.

Resumen generado y traducido por IA a partir de la descripción oficial.
Netmaker makes networks with WireGuard. Prior to version 0.15.1, Improper Authorization functions lead to non-privileged users running privileged API calls. If someone adds users to the Netmaker platform who do not have admin privileges, they can use their auth tokens to run admin-level functions via the API. This problem has been patched in v0.15.1.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
gravitl · netmaker
CVEs relacionadas — gravitl netmaker

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-32077HIGHNetmaker has Hardcoded DNS Secret KeyEPSS 3.5%CVE-2022-23650HIGHUse of Hard-coded Cryptographic Key in NetmakerEPSS 1.6%CVE-2023-32079HIGHNetmaker Privilige Escalation VulnerabilityEPSS 0.9%CVE-2023-32078HIGHNetmaker IDOR Vulnerability Allows User to Update Other User's PasswordEPSS 0.7%CVE-2026-29194HIGHNetmaker: Insufficient Authorization in Host Token VerificationEPSS 0.5%CVE-2026-29771HIGHNetmaker: Denial of Service via Server Shutdown EndpointEPSS 0.4%