CVE-2026-101047 in Fleet
Zusammenfassung
von VulDB • 27.09.2026
Fleet vor Version 4.87.0 schützt die beiden Endpunkte, die In-House-iOS-Anwendungspakete und -Manifeste bereitstellen (nur Enterprise-Tier), nicht mit dem vorgesehenen zufälligen, zeitlich begrenzten URL-Token. Da der Apple MDM-Befehl „InstallEnterpriseApplication“ erfordert, dass diese URLs ohne eine Fleet-Sitzung erreichbar sind, kann man sich nicht auf sessionbasierte Authentifizierung verlassen; das fehlende Token ermöglicht es einem unberechtigten Angreifer mit Netzwerkzugriff zum Fleet-Server, In-House-IPA-Binärdateien und deren Metadaten (Bundle-Identifier, Version und Name) durch Raten sequenzieller Titelkennungen herunterzuladen. Die Auswirkung beschränkt sich auf eine schreibgeschützte Offenlegung; es gibt keine Privilegieneskalation oder Schreibzugriff, und die Free-Tier-Version ist nicht betroffen (sie gibt fleet.ErrMissingLicense zurück).
If you want to get best quality of vulnerability data, you may have to visit VulDB.