CVE-2026-48786 in Fleet
Сводка
по VulDB • 26.08.2026
Fleet — это платформа управления устройствами с открытым исходным кодом, построенная на базе osquery. В версиях старше 4.87.0 конечная точка поиска целей (POST /api/latest/fleet/targets) возвращала незашифрованные секреты для регистрации команды и полную конфигурацию команды, включая параметры агента со встроенными учетными данными, пользователям с низкими привилегиями класса Observer. Другие конечные точки, ориентированные на работу с командами, маскируют эти поля для пользователей Observer, однако конечная точка поиска целей не применяла аналогичную санитизацию данных, поэтому аутентифицированный пользователь с ролью Observer, Observer+ или Technician (глобальной или привязанной к конкретной команде) мог получить доступ к секретам и параметрам агента путем выполнения поиска цели по запросу, который может быть выполнен пользователем класса Observer. При наличии утекнувшего секрета для регистрации команды злоумышленник мог зарегистрировать несанкционированные хосты в затронутую команду; если параметры агента этой команды содержали учетные данные, такие как ключи доступа AWS или пароли прокси-сервера, эти значения также раскрывались. Эта проблема исправлена в версии 4.87.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.