Lỗ hổng Windmill CVE-2026-29059 bị khai thác để đọc tệp tùy ý không cần xác thực
"A high-severity unauthenticated path traversal flaw in Windmill (CVE-2026-29059, CVSS 7.5) is being actively exploited to read arbitrary server files through the get_log_file endpoint. In some deployments, attackers may be able to retrieve the SUPERADMIN_SECRET from /proc/1/environ and use it to gain superadmin access and execute code; Windmill 1.603.3 addressed the issue by sanitizing the filename parameter."
Tác động chính là đọc tệp tùy ý không cần xác thực và, trong cấu hình có SUPERADMIN_SECRET, có thể dẫn tới chiếm quyền superadmin và thực thi mã. CVE-2026-29059 là điểm rủi ro trọng yếu cần xử lý ngay.
Rủi ro vận hành gồm rò rỉ thông tin nhạy cảm và khả năng bị chiếm quyền trên hệ thống Windmill, kéo theo gián đoạn dịch vụ và tăng chi phí điều tra. Việc có khoảng 170 hệ thống bị phơi lộ làm tăng xác suất ảnh hưởng dây chuyền trong môi trường doanh nghiệp.
Theo VulnCheck, nền tảng mã nguồn mở Windmill đang bị khai thác chủ động bởi một lỗ hổng path traversal mức độ nghiêm trọng cao. Lỗi được định danh CVE-2026-29059 với CVSS 7.5 và ảnh hưởng đến endpoint get_log_file của Windmill tại đường dẫn /api/w/{workspace}/jobs_u/get_log_file/{filename}.
Nguyên nhân là tham số filename được ghép vào đường dẫn tệp mà không có cơ chế sanitization phù hợp, cho phép kẻ tấn công dùng chuỗi ../ để đọc các tệp tùy ý trên máy chủ. Trong một số triển khai, kẻ tấn công có thể trích xuất giá trị nhạy cảm SUPERADMIN_SECRET từ /proc/1/environ; nếu biến này được cấu hình, kẻ tấn công có thể dùng nó như Bearer token để xác thực cấp superadmin và thực thi mã thông qua job preview API.
Windmill cho biết SUPERADMIN_SECRET không bật mặc định; với các bản cài đặt độc lập không cấu hình biến này, tác động có thể giới hạn ở việc đọc tệp tùy ý. Bản Windmill 1.603.3 (phát hành tháng 1/2026) đã khắc phục bằng cách kiểm tra/sanitization tham số filename. VulnCheck ghi nhận khoảng 170 hệ thống phơi lộ lỗ hổng tại 24 quốc gia, và khuyến nghị ưu tiên rà soát, cập nhật lên phiên bản đã vá, đồng thời hạn chế truy cập tới các endpoint liên quan.