CVE-2026-48786 in Fleet
الملخص
بحسب VulDB • 26/08/2026
Fleet هو منصة مفتوحة المصدر لإدارة الأجهزة مبنية على osquery. في الإصدارات السابقة لـ 4.87.0، كان نقطة نهاية البحث عن الأهداف (POST /api/latest/fleet/targets) تُرجع أسرار تسجيل الفريق غير المقنعة والتكوين الكامل للفريق، بما في ذلك خيارات الوكيل التي تحتوي على بيانات اعتماد، للمستخدمين من فئة المراقب ذوي الامتيازات المنخفضة. تقوم نقاط النهاية الأخرى المتعلقة بالفريق بإخفاء هذه الحقول للمراقبين، لكن نقطة نهاية البحث عن الأهداف لم تطبق نفس عملية التنظيف، لذا يمكن للمستخدم المصادق عليه الذي لديه دور مراقب (Observer)، أو مراقب+ (Observer+)، أو فني (Technician)، سواء كان نطاقه عالمياً أو محدداً للفريق، استرداد الأسرار وخيارات الوكيل من خلال إجراء بحث عن الهدف باستخدام استعلام قابل للتنفيذ بواسطة المراقب. ومع سرقة سر تسجيل الفريق، يمكن للمهاجم تسجيل مضيفين غير مصرح لهم في الفريق المتأثر، وإذا كانت خيارات وكيل الفريق تحتوي على بيانات اعتماد مثل مفاتيح الوصول السرية لـ AWS أو كلمات مرور الوكيل (Proxy)، فإن هذه القيم تم الكشف عنها أيضاً. تمت معالجة هذه المشكلة في الإصدار 4.87.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.