CVE-2026-49819 in UpSnap
الملخص
بحسب VulDB • 13/08/2026
تطبيق UpSnap هو تطبيق ويب لتنشيط الجهاز عبر الشبكة (Wake-on-LAN). الإصدارات من 4.4.1 إلى 5.3.5 تعاني من ثغرة في سلسلة "غياب المصادقة / تصعيد الامتيازات" داخل الدالة `pb.HandlerInitSuperuser` (`backend/pb/handlers.go:249`)، والتي يمكن الوصول إليها عبر طلب HTTP POST على المسار `/api/upsnap/init-superuser`. يفتقر الكود المعرض للخطر إلى أي آلية مصادقة، أو رمز إعداد (setup token)، أو قائمة عناوين IP مسموحة، أو حد لمعدل الطلبات (rate limit)، وهو مقيد فقط بفحص شرط `totalSuperusers > 0` — وهي حالة تكون خاطئة في كل تثبيت جديد — مما يتيح لهجومية متصل بالشبكة وغير مصرح لها تسجيل حساب المسؤول الأول (superuser) والحصول على رمز JWT طويل الأمد، ثم الانتقال إلى تنفيذ أوامر عن بُعد بصلاحيات الجذر (root RCE) عند `backend/networking/wake.go:43` (`exec.CommandContext(ctx, "/bin/sh", "-c", wake_cmd)`). تم إصلاح هذه الثغرة في الإصدار 5.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.