CVE-2026-19016
CVE-2026-19016 · Authorization bypass for session deletion in the transaction API
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Consul Community Edition and Consul Enterprise 1.19.1 through 2.0.2 did not enforce the {{session:write}} ACL permission for session deletion operations submitted through the transaction API. An authenticated caller with network access to the Consul server RPC port could delete arbitrary sessions without holding the required permission. This vulnerability, CVE-2026-19016, is fixed in Consul 2.0.3 and Consul Enterprise 1.21.17, 1.22.11, and 2.0.3.
CVSS 4.2 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system
Produits et versions concernés
consul
- Versions du logiciel
- ≥ 1.19.1, < 2.0.3: Concernée (semver)
Mettez à jour vers 2.0.3
consul enterprise
- Versions du logiciel
- ≥ 1.19.1, < 2.0.3: Concernée; ≥ 1.21.17: Non concernée; ≥ 1.22.11: Non concernée (semver)
Mettez à jour vers 1.21.17
consul Debian:11
- Versions du logiciel
- 1.10.12+dfsg1-1
- 1.8.7+dfsg1-2
- 1.8.7+dfsg1-3
- 1.8.7+dfsg1-4
- 1.8.7+dfsg1-5
- 1.8.7+dfsg1-6
- 1.9.17+dfsg2-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
consul Ubuntu:18.04:LTS
- Versions du logiciel
- 0.6.4~dfsg-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
consul Ubuntu:20.04:LTS
- Versions du logiciel
- 1.0.7~dfsg1-5ubuntu1
- 1.4.4~dfsg1-2ubuntu2
- 1.5.2+dfsg1-6
- 1.5.2+dfsg1-10
- 1.5.2+dfsg1-12
- 1.5.2+dfsg2-14
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
consul Ubuntu:22.04:LTS
- Versions du logiciel
- 1.7.4+dfsg1-1
- 1.8.7+dfsg1-3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié