Zaloguj się
Deutsch English Español Polski
Średnia

Apache Kafka exposes sensitive information in its DEBUG logs

  • Ujawniono: 20.04.2026
  • Aktualizacja: 11.10.2026 13:20

Information exposure vulnerability has been identified in Apache Kafka.

The NetworkClient component will output entire requests and responses information in the DEBUG log level in the logs. By default, the log level is set to INFO level. If the DEBUG level is enabled, the sensitive information will be exposed via the requests and responses output log. The entire lists of impacted requests and responses are:

  • AlterConfigsRequest

  • AlterUserScramCredentialsRequest

  • ExpireDelegationTokenRequest

  • IncrementalAlterConfigsRequest

  • RenewDelegationTokenRequest

  • SaslAuthenticateRequest

  • createDelegationTokenResponse

  • describeDelegationTokenResponse

  • SaslAuthenticateResponse

This issue affects Apache Kafka: from any version supported the listed API above through v3.9.1, v4.0.0. Apache advises Kafka users to upgrade to v3.9.2, v4.0.1, or later to avoid this vulnerability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.kafka:kafka-clients >= 0.11.0, < 3.9.2, >= 4.0.0, < 4.0.1 3.9.2, 4.0.1

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-532
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.kafka:kafka-clients
Ujawniono
20.04.2026
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wf66-mphr-4c4r - CC BY 4.0

Historia podatności: org.apache.kafka:kafka-clients

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
7
Pierwsza → ostatnia
09.2021 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 1
  • Średnia 5

Ujawnienia w latach

  1. Apache Kafka exposes sensitive information in its DEBUG logs ten wpis
    Średnia · 5.3 CVE-2026-33558 >= 0.11.0, < 3.9.2, >= 4.0.0, < 4.0.1 3.9.2, 4.0.1
  2. Apache Kafka does not validate JWT tokens in its OAUTHBEARER authentication implementation
    Krytyczna · 9.1 CVE-2026-33557 >= 4.1.0, < 4.1.2 4.1.2
  3. Apache Kafka Clients: Kafka Producer Message Corruption and Misrouting via Buffer Pool Race Condition
    Wysoka · 8.7 CVE-2026-35554 >= 2.8.0, < 3.9.2, >= 4.0.0, < 4.0.2, >= 4.1.0, < 4.1.2 3.9.2, 4.0.2, 4.1.2
  4. Apache Kafka Client Arbitrary File Read and Server Side Request Forgery Vulnerability
    Średnia · 7.5 CVE-2025-27817 >= 3.1.0, < 3.9.1 3.9.1
  5. Apache Kafka Clients: Privilege escalation to filesystem read-access via automatic ConfigProvider
    Średnia · 6.5 CVE-2024-31141 >= 2.3.0, < 3.7.1 3.7.1
  6. Improper Authentication in Apache Kafka
    Średnia · 6.8 CVE-2017-12610 >= 0.10.0.0, < 0.10.2.2, >= 0.11.0.0, < 0.11.0.2 0.10.2.2, 0.11.0.2
  7. Observable Discrepancy in Apache Kafka
    Średnia · 5.9 CVE-2021-38153 >= 2.0.0, < 2.6.3, >= 2.7.0, < 2.7.2, >= 2.8.0, < 2.8.1 2.6.3, 2.7.2, 2.8.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.