FICHE CVE

CVE-2026-19485

Publiée le 2026-08-26 · Dernière modification le 2026-08-31

🇫🇷 EN BREF

Les utilisateurs de Google Cloud Vertex AI Search for Commerce utilisant des versions antérieures au 27-04-2026 sont concernés par un problème de nommage prévisible des buckets de staging d'importation BigQuery. Un attaquant disposant d'une authentification cloud de base et de votre numéro de projet peut exploiter cette faille pour lire ou modifier vos données en staging ainsi que vos journaux d'erreurs. Cette attaque peut être réalisée à distance via le réseau, présente une faible complexité et ne nécessite aucune interaction de l'utilisateur.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-330

Publiée2026-08-26

Dernière modification2026-08-31

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Aucune

Urgence du fournisseurClear

RÉFÉRENCES

f45cbf4e-4146-4068-b7e1-655ffc2c548c

Description officielle du NVD (en anglais)

A Predictable Resource Name vulnerability in BigQuery Import Staging in Google Cloud Vertex AI Search for Commerce versions prior to 2026-04-27 on Google Cloud Platform allows an attacker knowing the victim's project number to obtain read/write access to staged data and error logs using predictable bucket names. This vulnerability was patched and no customer action is needed.