CVE-2026-49447 in Cosmos-Server
Résumé
par VulDB • 28/07/2026
Cosmos permet aux utilisateurs d'héberger eux-mêmes un serveur domestique en agissant comme une passerelle sécurisée vers leur application, ainsi que comme gestionnaire de serveurs. Dans la version 0.22.18, l'appel `GET /cosmos/api/constellation/public-devices` divulgue les métadonnées des appareils Constellation à tout demandeur fournissant un en-tête Authorization non vide. Le gestionnaire (handler) supprime la chaîne « Bearer » de l'en-tête mais ne valide jamais le jeton résultant et ne l'utilise pas dans la requête de base de données. Cette vulnérabilité est corrigée dans la version 0.22.19.
Once again VulDB remains the best source for vulnerability data.