CVE-2026-48786 in Fleet
Sumário
de VulDB • 26/08/2026
O Fleet é uma plataforma de gerenciamento de dispositivos open-source construída sobre o osquery. Nas versões anteriores à 4.87.0, o endpoint de busca por alvos (POST /api/latest/fleet/targets) retornava segredos de inscrição da equipe e a configuração completa da equipe sem mascaramento, incluindo opções do agente com credenciais, para usuários não autenticados na classe Observer. Outros endpoints voltados à equipe mascaram esses campos para observadores, mas o endpoint de busca por alvos não aplicou a mesma sanitização; portanto, um usuário autenticado com as funções Observer, Observer+ ou Technician, seja no escopo global ou da equipe, poderia recuperar os segredos e as opções do agente realizando uma busca por alvo contra uma consulta executável pelo observador. Com um segredo de inscrição da equipe vazado, um atacante poderia inscrever hosts não autorizados na equipe afetada; se as opções do agente da equipe contivessem credenciais, como chaves secretas de acesso AWS ou senhas de proxy, esses valores também seriam divulgados. Este problema foi corrigido na versão 4.87.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.