PT-2026-138051
CVE-2026-112340
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Wazuh dashboard الإصدارات من 4.9.0 إلى 4.14.8
Description
يمكن لمستخدمي لوحة التحكم المصرح لهم تجاوز التفويض عن طريق تجاوز رأس تفويض API الخاص بالمدير عبر نقطة نهاية وكيل '/api/request'. من خلال تقديم قيم
body.headers.Authorization متداخلة، يمكن للمهاجم استبدال رمز Bearer الخاص بجلسة الخادم، مما يسمح له بانتحال هوية أخرى لـ API المدير أو إرسال طلبات غير مصرح بها إلى الأنظمة الخلفية.Recommendations
تحديث Wazuh dashboard إلى الإصدار 4.14.9 أو أحدث.
تقييد الوصول إلى نقطة نهاية الوكيل '/api/request' لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾