CVE-2026-41424 in Wazuh
要約
〜によって VulDB • 2026年08月21日
Wazuhは、脅威の防止、検出、および対応に使用されるフリーでオープンソースのプラットフォームです。バージョン4.9.0から4.10.4まで、および4.14.6において、`api/api/controllers/security_controller.py`内の`PUT /security/users/{user_id}`エンドポイントでは、現在のユーザーとして `request.context['token_info']['sub']` の代わりに `request.get("user")` が渡されます。`remove_nones_to_dict()` は結果としての None 値を削除するため、`framework/wazuh/security.py` にある予約済みアカウントの保護機能はリクエストの実行者を確認できません。users_admin ロールを持つ認証済みユーザーは、IDが99以下の保護された管理者アカウント（wazuhスーパーユーザーを含む）のパスワードを上書きし、完全な管理権限を取得できます。この問題はバージョン4.10.4および4.14.6で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.