CVE-2026-38979
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Ajenti do wersji 2.2.13 zawiera podatność na clickjacking w interfejsie logowania i administracyjnym. Brak nagłówków X-Frame-Options i Content-Security-Policy frame-ancestors w odpowiedziach HTTP umożliwia osadzenie strony w ramce iframe.
Ocena ryzyka
Atakujący może nakłonić administratora do wykonania nieświadomych działań (np. zmiany konfiguracji) poprzez osadzenie panelu Ajenti na złośliwej stronie, co prowadzi do przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj Ajenti do najnowszej wersji, która zawiera poprawkę. Jeśli aktualizacja nie jest dostępna, dodaj ręcznie nagłówki X-Frame-Options: DENY lub Content-Security-Policy: frame-ancestors 'none' w konfiguracji serwera proxy.
Oryginalny opis (angielski, źródło NVD)
ajenti through v2.2.13 has a clickjacking weakness in the browser-facing login and administrative UI. In ajenti-core/aj/http.py, the core HTTP response path initializes an empty header list, forwards handler-added headers verbatim, and finalizes responses through WSGI start_response() without adding anti-framing protections such as X-Frame-Options or a Content-Security-Policy frame-ancestors restriction.