Katalog CVE
CVE-2026-18638
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.29%
Percentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Każdy uwierzytelniony użytkownik Velociraptor, nawet posiadający tylko rolę 'reader', może jednym żądaniem zakończyć działanie całego procesu serwera, wywołując SetPassword z nazwą użytkownika, która nie istnieje.
Ocena ryzyka
Atakujący z minimalnymi uprawnieniami może spowodować niedostępność usługi (DoS), co może zakłócić działanie organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Velociraptor do wersji z poprawką oraz ograniczenie dostępu do funkcji SetPassword tylko dla uprawnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Any authenticated Velociraptor user — including one holding only the readerrole — can terminate the entire server process with a single request, by calling SetPassword with a username that does not exist.