blueprintue-self-hosted-edition
blueprintue-self-hosted-edition: database MariaDB accessibile come root senza password
Il problema, secondo i dati ufficiali
- Gli esempi di Docker Compose di blueprintUE Self-Hosted Edition hanno una configurazione predefinita insicura: in database.env impostano MYSQL_ALLOW_EMPTY_PASSWORD=yes e pubblicano MariaDB sulla porta 3306.
- Chi riesce a raggiungere la porta 3306 dell'host Docker può accedere come root senza password, senza bisogno di un account. L'attacco avviene via rete, quindi anche da internet se la porta è esposta.
- L'attaccante può leggere, modificare o cancellare account utente, blueprint e tutti i database.
Cosa fare
- Aggiorna blueprintue-self-hosted-edition alla versione 4.3.7 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- blueprintue-self-hosted-edition: dalla 1.0.0 alla 4.3.7 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- github.com — patch
- github.com — patch
- github.com — note di rilascio
- github.com — riferimento
Descrizione ufficiale (in inglese)
blueprintUE Self-Hosted Edition before 4.3.7 contains an insecure default configuration in its Docker Compose examples that sets MYSQL_ALLOW_EMPTY_PASSWORD=yes in database.env and publishes MariaDB on port 3306. Unauthenticated attackers reaching the Docker host on port 3306 can log in as root without a password to read, modify, or delete user accounts, blueprints, and all databases.
Non sai se ti riguarda?
Se usi blueprintue-self-hosted-edition e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.