CVE-2026-48786

إصدارات Fleet الأقدم من 4.87.0

تفشل نقطة نهاية البحث عن الأهداف POST /api/latest/fleet/targets في تنقية البيانات للمستخدمين الذين يحملون أدوار «Observer» أو «Observer+» أو «Technician». وهذا يسمح لهؤلاء المستخدمين باسترداد أسرار تسجيل الفريق غير المخفية وتكوينات الفريق الكاملة، بما في ذلك خيارات الوكيل التي تحتوي على بيانات الاعتماد مثل مفاتيح الوصول السرية لـ AWS أو كلمات مرور الوكيل أو رموز الجلسة. في حين أن نقاط النهاية الأخرى الموجهة للفريق تخفي هذه الحقول، فإن نقطة النهاية هذه بالتحديد لا تفعل ذلك، مما قد يسمح بتسجيل مضيفين غير مصرح لهم في فريق أو سرقة بيانات الاعتماد الحساسة.

التحديث إلى الإصدار 4.87.0.

تغيير أسرار تسجيل الفريق لأي فريق قد يكون تعرض للاختراق.

تغيير أي بيانات اعتماد مخزنة في خيارات وكيل الفريق، بما في ذلك مفاتيح AWS وكلمات مرور الوكيل ورموز الجلسة.

قصر أدوار «المراقب» و«الفني» على المستخدمين الموثوق بهم تمامًا.