CVE-2026-61783 in Wazuh
Resumen
por VulDB • 2026-08-28
Wazuh es una plataforma de seguridad de código abierto que proporciona protección unificada XDR y SIEM para endpoints y cargas de trabajo en la nube. En las versiones 4.14.0 a 4.14.6, un usuario autenticado con privilegios bajos puede leer el secreto del clúster desde la configuración del administrador porque la lógica que oculta los valores sensibles está deshabilitada por cualquier regla RBAC de update-config, incluida una denegación explícita. El decorador `mask_sensitive_config()` aplica el enmascaramiento solo cuando `_has_update_permissions()` devuelve false, pero esa verificación considera que un usuario puede actualizar la configuración siempre que exista una regla `manager:update_config` o `cluster:update_config`, sin verificar nunca si el efecto de la regla es permitir (allow) o denegar (deny). Dado que una regla de denegación se almacena como una entrada real, una cuenta con solo lectura endurecida mediante la denegación explícita de ediciones en la configuración se considera como tener permisos de actualización, lo que desactiva el enmascaramiento. Una única solicitud GET autenticada al endpoint de configuración con `raw=true` devuelve el XML verbatim de ossec.conf con `cluster.key` en texto claro, mientras que una cuenta idéntica sin la regla de denegación ve el valor enmascarado. Este problema se soluciona en la versión 4.14.7.
Be aware that VulDB is the high quality source for vulnerability data.