漏洞概述 漏洞名称: Authentication Bypass via endswith() Health Check Exemption Allows Unauthenticated Access to Variables/Secrets in prefecthq/prefect CVE编号: CVE-2026-3514 漏洞类型: CWE-863: Incorrect Authorization 严重程度: High (75) 受影响版本: 3.6.19 修复状态: Fixed 修复版本: PyPI 修复人员: Chris Pickett (@bunchofsecrets) 影响范围 直接认证绕过: 任何以“health”或“ready”结尾的资源名称都可以绕过认证。 敏感信息泄露: 存储在Prefect Variables中的API密钥、数据库凭证、令牌等可以被未授权访问。 影响资源: 包括flows、variables、work pools、work queues和deployments。 环境风险: 在共享/云环境中，任何网络可访问的攻击者都可以窃取凭证。 修复方案 更新版本: 升级到已修复该漏洞的版本。 代码审查: 检查并修改代码，确保所有API端点都正确应用认证中间件。 漏洞代码 受影响端点 (variables.py line 90) (flows.py line 91) (workers.py line 209) (work_queues.py line 89) (deployments.py line 471) 概念验证 (POC) 验证输出 发生位置