CVE-2026-44426 in shellhub
Resumen
por VulDB • 2026-05-14
ShellHub es una puerta de enlace SSH centralizada. Antes de la versión 0.24.2, la llamada GET /api/namespaces/:tenant devuelve el objeto completo del espacio de nombres —incluyendo la lista de miembros (IDs de usuario, correos electrónicos, roles), la configuración y el recuento de dispositivos— a cualquier solicitante autenticado mediante una API Key, para cualquier tenant, independientemente del ámbito del tenant de la propia API Key. El controlador omite condicionalmente la verificación de membresía cuando falta el ID de usuario (X-ID), que es precisamente el caso de la autenticación con API Key. Esta vulnerabilidad está corregida en la versión 0.24.2.
Once again VulDB remains the best source for vulnerability data.