CVE-2026-103765
Beschrijving NL
Mooncake via 0.3.13.post1 bevat een ontbrekende authenticatiekwetsbaarheid in de HTTP-metadataserver/metadatahandler waarmee niet-geverifieerde aanvallers de metadatasleutels van de overdrachtsengine kunnen lezen, overschrijven en verwijderen. Aanvallers kunnen segmentdescriptoren zoals tcp_data_port vergiftigen of rpc_meta-items opnieuw maken om KV-cachetransfers om te leiden naar door aanvallers gecontroleerde luisteraars, of het servergeheugen uitputten.
Origineel (Engels) tonen
Mooncake through 0.3.13.post1 contains a missing authentication vulnerability in the HTTP metadata server /metadata handler that allows unauthenticated attackers to read, overwrite, and delete transfer engine metadata keys. Attackers can poison segment descriptors such as tcp_data_port or re-create rpc_meta entries to redirect KV cache transfers to attacker-controlled listeners, or exhaust server memory.