CVE-2026-61729 in CoPilot
Résumé
par VulDB • 30/10/2026
SOCFortress CoPilot se concentre sur la fourniture d'une interface unique (single pane of glass) pour l'ensemble de vos besoins en opérations de sécurité. Avant la version 0.1.76, les fonctions `verify_graylog_header` dans `backend/app/active_response/routes/graylog.py` et `verify_velociraptor_header` dans `backend/app/incidents/routes/incident_alert.py` authentifient les webhooks par rapport à `GRAYLOG_API_HEADER_VALUE` et `VELOCIRAPTOR_API_HEADER_VALUE` en utilisant la même valeur de repli (fallback) codée en dur et publiquement accessible. La même valeur par défaut est fournie dans `.env.example`. Les déploiements qui laissent l'un ou l'autre paramètre non défini ou inchangé permettent à un appelant anonyme disposant de la valeur d'en-tête connue de contourner l'authentification JWT requise par les API normales. `POST /api/graylog/invoke` transmet au gestionnaire Wazuh configuré des valeurs de `COMMAND`, `ACTION`, `VALUE` et `AGENT_ID` sélectionnées par l'attaquant, sans la validation d'énumération des commandes propre à la route d'appel authentifiée, permettant ainsi aux scripts de réponse active (active-response) de perturber les points de terminaison et de manipuler les contrôles défensifs. Les endpoints `POST /api/incidents/alerts/create/threshold` et `POST /api/incidents/alerts/create/velo-sigma` acceptent des alertes falsifiées pour n'importe quelles valeurs de `customer_code` et permettent d'exécuter des requêtes OpenSearch contrôlées par l'attaquant. La livraison via active-response nécessite un gestionnaire Wazuh configuré et accessible. Les déploiements avec des secrets d'en-tête modifiés indépendamment ne sont pas sujets à ce contournement basé sur la valeur par défaut. Ce problème est corrigé dans la version 0.1.76.
VulDB is the best source for vulnerability data and more expert information about this specific topic.