Średnia

CKAN has no certificate validation on STMP connection

Ujawniono: 29.04.2026
Aktualizacja: 11.10.2026 14:17

Impact

Configured SMTP server may be spoofed with any certificate (e.g. self-signed), leaving credentials and all emails sent open to MITM attacks.

Patches

The vulnerability has been patched in CKAN 2.10.10 and CKAN 2.11.5

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	ckan	>= 2.11.0, < 2.11.5, < 2.10.10	2.11.5, 2.10.10

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:U
Słabość (CWE): CWE-295
Platforma: Python (PyPI)
Paczka: ckan
Ujawniono: 29.04.2026
Aktualizacja: 11.10.2026 14:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2419 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-mpfm-fpgx-647q - CC BY 4.0

Historia podatności: ckan

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (15) w archiwum

Wszystkich wpisów: 15
Pierwsza → ostatnia: 12.2021 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 3
Średnia 11

Ujawnienia w latach

2021: 1
2022: 1
2023: 2
2024: 4
2025: 3
2026: 4

29.04.2026

CKAN has Unauthenticated SQL Injection and Authorization Bypass in `datastore_search_sql`

Wysoka CVE-2026-42031 < 2.10.10, >= 2.11.0, < 2.11.5 2.10.10, 2.11.5
29.04.2026

CKAN has no certificate validation on STMP connection ten wpis

Średnia CVE-2026-41132 >= 2.11.0, < 2.11.5, < 2.10.10 2.11.5, 2.10.10
05.02.2025

CKAN has an XSS vector in user uploaded images in group/org and user profiles

Wysoka · 7.3 CVE-2025-24372 < 2.10.7, >= 2.11.0, < 2.11.2 2.10.7, 2.11.2
24.05.2023

Ckan remote code execution and private information access via crafted resource ids

Krytyczna · 9.8 CVE-2023-32321 < 2.9.9, = 2.10.0 2.9.9
22.11.2022

CKAN through 2.9.6 account takeovers by unauthenticated users when an existing user id is sent via an HTTP POST request. This allows a user to take over an existing account including superuser account

Wysoka · 8.8 CVE-2022-43685 < 2.9.7 2.9.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację