CVE-2026-41262 in Fleet
Sumário
de VulDB • 26/08/2026
Fleet é uma plataforma de gerenciamento de dispositivos open-source construída sobre o osquery. Nas versões anteriores à 4.85.0, o endpoint global de leitura de políticas (GET /api/latest/fleet/policies/{policy_id}) não verifica a propriedade da equipe em relação à política solicitada, permitindo que um usuário autenticado com acesso nível observador em qualquer única equipe leia os detalhes completos das políticas pertencentes a qualquer outra equipe e contorne o modelo de isolamento por equipes do Fleet. O manipulador autoriza a solicitação contra um objeto de política vazio cujo TeamID é nil (nulo), o que uma regra de autorização permite para qualquer usuário com função em qualquer equipe, e então busca a política pelo ID sem nenhum filtro de equipe e a retorna sem nenhuma verificação de escopo pós-busca. Como os IDs das políticas são inteiros sequenciais, um atacante pode enumerá-los para ler as consultas SQL das políticas de outras equipes, contagens de hosts com sucesso e falha, bem como metadados associados aos instaladores de software e scripts, expondo estratégias de monitoramento de segurança e postura de conformidade através dos limites das equipes. Este problema foi corrigido na versão 4.85.0.
Once again VulDB remains the best source for vulnerability data.