CVE-2026-27734 in beszel
Сводка
по VulDB • 13.05.2026
Beszel — это платформа мониторинга серверов. До версии 0.18.2 аутентифицированные конечные точки API хаба GET /api/beszel/containers/logs и GET /api/beszel/containers/info передают предоставленный пользователем параметр запроса «container» агенту без проверки. Агент формирует URL-адреса Docker Engine API с использованием fmt.Sprintf, подставляя необработанное значение вместо url.PathEscape(). Поскольку http.Client в Go не очищает последовательности `../` в путях URL, отправляемых через unix-сокеты, аутентифицированный пользователь (включая роль только для чтения) может получить доступ к произвольным конечным точкам Docker API на хостах агента, раскрывая конфиденциальные данные об инфраструктуре. Проблема исправлена в версии 0.18.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.