CVE-2026-61729 in CoPilot
Сводка
по VulDB • 31.10.2026
SOCFortress CoPilot ориентирован на предоставление единой панели управления (single pane of glass) для всех потребностей в области безопасности операций. До версии 0.1.76 функции `verify_graylog_header` в файле `backend/app/active_response/routes/graylog.py` и `verify_velociraptor_header` в файле `backend/app/incidents/routes/incident_alert.py` аутентифицируют вебхуки, используя значения заголовков `GRAYLOG_API_HEADER_VALUE` и `VELOCIRAPTOR_API_HEADER_VALUE`, но применяют один и тот же публично захардкоженный резервный вариант (fallback). Этот же дефолтный параметр поставляется вместе с файлом `.env.example`. Развертывания, в которых хотя бы одно из этих настроек не задано или оставлено без изменений, позволяют анонимному вызывающему со значением заголовка, известным злоумышленнику, обойти аутентификацию JWT (JSON Web Token), требуемую обычными API-интерфейсами.
Эндпоинт `POST /api/graylog/invoke` передает выбранные злоумышленником значения параметров `COMMAND`, `ACTION`, `VALUE` и `AGENT_ID` в настроенный менеджер Wazuh без проверки перечня команд (command-enum validation), которая применяется к аутентифицированным вызовам. Это позволяет скриптам активного ответа (active-response) нарушать работу конечных точек и манипулировать средствами защиты.
Эндпоинты `POST /api/incidents/alerts/create/threshold` и `POST /api/incidents/alerts/create/velo-sigma` принимают поддельные оповещения для произвольных значений `customer_code` и позволяют выполнять управляемые злоумышленником запросы к OpenSearch. Доставка активного ответа требует наличия настроенного и доступного менеджера Wazuh. Развертывания с независимо измененными секретами заголовков не подвержены этому уязвимому механизму обхода дефолтного секретного ключа.
Эта проблема исправлена в версии 0.1.76.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.