CVE-2026-0397
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Gdy wewnętrzny serwer WWW jest włączony (domyślnie wyłączony), atakujący może nakłonić administratora zalogowanego do panelu do odwiedzenia złośliwej strony i wyodrębnić informacje o bieżącej konfiguracji. Przyczyną jest błędna konfiguracja polityki CORS.
Ocena ryzyka
Ryzyko wycieku poufnych danych konfiguracyjnych w wyniku ataku socjotechnicznego na administratora.
Rekomendacja
Upewnij się, że wewnętrzny serwer WWW jest wyłączony, jeśli nie jest wymagany. Jeśli jest włączony, skonfiguruj poprawnie politykę CORS.
Oryginalny opis (angielski, źródło NVD)
When the internal webserver is enabled (default is disabled), an attacker might be able to trick an administrator logged to the dashboard into visiting a malicious website and extract information about the running configuration from the dashboard. The root cause of the issue is a misconfiguration of the Cross-Origin Resource Sharing (CORS) policy.