Lotus до 0.10.2: обход аутентификации через префикс API-ключа (CVE-2026-115333)
В Lotus (uselotus/lotus) до версии 0.10.2 включительно обнаружена уязвимость неправильной аутентификации в middleware приёма событий: проверяется только префикс API-ключа, без сверки секрета с сохранённым хешем. Зная или получив префикс ключа, злоумышленник может отправлять события от имени организации через POST /api/track/, искажая метрики и биллинг. Критичность высокая — CVSS 8.2.
Подробности
Уязвимость присутствует в Lotus до версии 0.10.2 включительно. Ошибка сосредоточена в middleware приёма событий, написанном на Go: при обработке запросов к эндпоинту POST /api/track/ система проверяет API-ключ только по префиксу и не сверяет переданный секрет с сохранённым значением hashed_key. В результате атакующему достаточно знать или получить префикс API-ключа, чтобы успешно проходить аутентификацию. Эксплуатация позволяет отправлять события потребления (usage events) от имени соответствующей организации. Это напрямую влияет на учёт метрик и на биллинг: злоумышленник может завышать или искажать тарифицируемое потребление, что приводит к некорректным счетам и искажению данных аналитики. Для эксплуатации не требуется валидный полный ключ — только его префикс, что существенно снижает порог атаки (например, при утечке фрагментов ключей в логах, конфигурациях или клиентском коде). Оценка опасности — CVSS 8.2 (HIGH). Уязвимость классифицирована как Improper Authentication (неправильная аутентификация).Что делать
Основная рекомендация — обновиться до версии Lotus выше 0.10.2, в которой устранена ошибка проверки ключей. Если обновление невозможно в кратчайшие сроки, следует рассмотреть компенсирующие меры: - ограничить доступ к эндпоинту POST /api/track/ на сетевом уровне (allowlist источников, WAF-правила); - усилить контроль и мониторинг аномальной активности приёма событий (резкие изменения объёмов потребления по организациям); - проверить, не попадали ли префиксы API-ключей в логи, публичные репозитории, клиентские приложения или конфигурационные файлы, и при необходимости ротировать ключи; - обеспечить журналирование и алертинг по запросам к эндпоинту приёма событий с признаками подмены источника.Итог
CVE-2026-115333 — серьёзная уязвимость аутентификации в Lotus, позволяющая при знании лишь префикса API-ключа отправлять события от имени организации и тем самым искажать метрики и биллинг. Учитывая высокий балл CVSS 8.2 и низкий порог эксплуатации, обновление до версии выше 0.10.2 следует выполнить в приоритетном порядке, а при отсутствии такой возможности — оперативно применить митигации и усилить мониторинг.Источник: CVE Project (cvelistV5)