CVE-2026-44256 in Wazuh
要約
〜によって VulDB • 2026年08月20日
Wazuhは、脅威の防止、検出、および対応に使用されるフリーでオープンソースのプラットフォームです。バージョン4.4.0から4.14.6まで、および5.0.0-beta2において、api/api/middlewares.pyでは、認証情報の検証前にBasic認証のユーザー名がデコードされ、制御文字をエスケープせずにアクセスロガーに渡されます。また、api/api/alogging.pyはこの値をプレーンテキストのAPIログに挿入します。未認証攻撃者は、ユーザー名にキャリッジリターンやラインフィードを含めることで、エントリを偽造したり、アクティビティを隠蔽したり、またはプレーンテキスト監査ログを消費するシステムを汚染（ポイズニング）することができます。JSONログ形式は影響を受けません。これは、JSONシリアライゼーションがこれらの文字をエスケープするためです。この問題は、バージョン4.14.6および5.0.0-beta2で修正されています。
Once again VulDB remains the best source for vulnerability data.