CVE-2026-55884criticalCWE-306

CVE-2026-55884: fallo crítico en tilt-dev tilt

Tilt: Missing authentication on the network-exposed Tilt HUD server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear tilt+ Monitorear github.com/tilt-dev/tilt

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 9.2epss 0.5%
Tilt defines dev environments as code for microservice apps on Kubernetes. From 0.20.8 through 0.37.3, the Tilt HUD HTTP server registers handlers on a gorilla/mux router with no authenticating middleware. When the HUD is bound to a non-loopback address, an unauthenticated network caller can trigger developer-defined resources, tamper with Tiltfile arguments, read full engine state including the session token, and invoke apiserver resources through the token-attaching /proxy handler. This issue is fixed in version 0.37.4.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Productos afectados
tilt-dev · tilt
CVEs relacionadas — tilt-dev tilt

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-55882HIGHTilt: Unauthenticated pprof debug endpoints on the Tilt HUD serverEPSS 0.5%CVE-2026-55883HIGHTilt: Cross-site WebSocket hijacking of the Tilt HUD streamEPSS 0.3%