Heimdall Security Logo

CVE-2026-22683

Vulnérabilité élevée dans Windmill CE (Community Edition) (Windmill Labs)

CVSS 8.8 · Élevée
EPSS 2.6%
Windmill Labs•Windmill CE (Community Edition)•Versions : 1.56.0, <=1.614.0, 1.615.0

Description

Windmill versions 1.56.0 through 1.614.0 contain a missing authorization vulnerability that allows users with the Operator role to perform prohibited entity creation and modification actions via the backend API. Although Operators are documented and priced as unable to create or modify entities, the API does not enforce the Operator restriction on workspace endpoints, allowing an Operator to create and update scripts, flows, apps, and raw_apps. Since Operators can also execute scripts via the jobs API, this allows direct privilege escalation to remote code execution within the Windmill deployment. This vulnerability has existed since the introduction of the Operator role in version 1.56.0.

Gravité et risque d'exploitation

CVE-2026-22683 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 2.61 %, ce qui la place devant 85.2 % des CVE référencées.

Que faire ?

  • Vérifiez si Windmill CE (Community Edition) (versions 1.56.0, <=1.614.0, 1.615.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE