CVE-2026-49973

Nome do Software Vulnerável e Versões Afetadas Hermes WebUI versões anteriores a 0.51.358

Descrição Um controle de acesso inadequado permite que atacantes remotos não autenticados sequestrem o processo de configuração inicial. Ao enviar uma requisição POST para o endpoint da API de configurações sem restrições de origem de rede, um atacante pode enviar o parâmetro set password para persistir um hash de senha arbitrário. Esta ação permite que o atacante obtenha um cookie de sessão válido e bloqueie o operador legítimo de sua própria instância.

Recomendações Atualize para a versão 0.51.358 ou posterior. Isole os sistemas afetados imediatamente para evitar acesso não autorizado.