CVE-2026-101047

Nome do Software Vulnerável e Versões Afetadas Fleet versões anteriores a 4.87.0

Descrição No nível enterprise, dois endpoints que servem pacotes de aplicativos iOS internos e manifestos não possuem a proteção pretendida por token de URL aleatório e com tempo limitado. Como o comando MDM InstallEnterpriseApplication da Apple exige que essas URLs sejam acessíveis sem uma sessão do Fleet, a autenticação baseada em sessão não é utilizada. Isso permite que um invasor não autenticado com acesso de rede ao servidor Fleet baixe binários IPA internos e metadados, incluindo o identificador do pacote, versão e nome, através da adivinhação de identificadores de título sequenciais. O impacto é limitado à divulgação de leitura.

Recomendações Atualize para a versão 4.87.0 ou posterior.