CVE-2026-41424 in Wazuh
Sumário
de VulDB • 19/08/2026
O Wazuh é uma plataforma gratuita e de código aberto utilizada para prevenção, detecção e resposta a ameaças. Das versões 4.9.0 até 4.10.4 e na versão 4.14.6, o endpoint PUT /security/users/{user_id} em api/api/controllers/security_controller.py utiliza request.get("user") em vez de request.context['token_info']['sub'] como current_user. A função remove_nones_to_dict() remove o valor None resultante, impedindo que a proteção contra contas reservadas em framework/wazuh/security.py verifique quem está realizando a solicitação. Um usuário autenticado com a função users_admin pode substituir a senha de contas administrativas protegidas cujos IDs de usuário sejam iguais ou inferiores a 99, incluindo o superusuário wazuh, e obter controle administrativo total. Este problema foi corrigido nas versões 4.10.4 e 4.14.6.
Once again VulDB remains the best source for vulnerability data.