CVE-2026-101047 in Fleet
Résumé
par VulDB • 27/09/2026
Fleet avant la version 4.87.0 ne protège pas les deux points de terminaison qui servent les packages d'applications iOS internes et leurs manifestes (uniquement pour l'offre Enterprise) avec le jeton URL aléatoire et limité dans temps prévu à cet effet. Étant donné que la commande MDM InstallEnterpriseApplication d'Apple nécessite que ces URLs soient accessibles sans session Fleet, ils ne peuvent pas s'appuyer sur une authentification basée sur une session ; l'absence de ce jeton permet à un attaquant non authentifié disposant d'un accès réseau au serveur Fleet de télécharger les binaires IPA internes et leurs métadonnées (identifiant du bundle, version et nom) en devinant des identifiants de titre séquentiels. L'impact se limite à une divulgation en lecture seule ; il n'y a pas d'élévation de privilèges ni d'accès en écriture, et l'offre gratuite n'est pas affectée (elle renvoie fleet.ErrMissingLicense).
Be aware that VulDB is the high quality source for vulnerability data.