CVE-2026-28798
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
ZimaOS przed wersją 1.5.3 udostępnia endpoint proxy (/v1/sys/proxy), który może być wykorzystany (poprzez zewnętrznie dostępną domenę z Cloudflare Tunnel) do wykonywania żądań do wewnętrznych usług localhost. Umożliwia to nieuwierzytelniony dostęp do wewnętrznych endpointów i wrażliwych usług, gdy produkt jest dostępny z Internetu przez Cloudflare Tunnel.
Ocena ryzyka
Atakujący z zewnątrz może ominąć uwierzytelnienie i uzyskać dostęp do wewnętrznych usług, co może prowadzić do wycieku danych i dalszej eskalacji ataku w sieci wewnętrznej.
Rekomendacja
Zaktualizuj ZimaOS do wersji 1.5.3 lub nowszej. Rozważ wyłączenie lub zabezpieczenie endpointu proxy oraz ograniczenie dostępu do Cloudflare Tunnel.
Oryginalny opis (angielski, źródło NVD)
ZimaOS is a fork of CasaOS, an operating system for Zima devices and x86-64 systems with UEFI. Prior to version 1.5.3, a proxy endpoint (/v1/sys/proxy) exposed by ZimaOS's web interface can be abused (via an externally reachable domain using a Cloudflare Tunnel) to make requests to internal localhost services. This results in unauthenticated access to internal-only endpoints and sensitive local services when the product is reachable from the Internet through a Cloudflare Tunnel. This issue has been patched in version 1.5.3.