CVE-2026-47688
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność w FOG (system zarządzania obrazami i inwentaryzacją). Nieuwierzytelniony atakujący może zdalnie wyczyścić klucze AES i usunąć zaplanowane zadania zarządzania energią poprzez żądanie HTTP GET.
Ocena ryzyka
Ryzyko zdalnego usunięcia danych uwierzytelniających AES i zakłócenia zarządzania energią, co może prowadzić do przerw w działaniu i utraty kontroli nad hostami.
Rekomendacja
Zaktualizuj FOG do wersji 1.5.10.1832 lub 1.6.0-beta.2313.
Inne podatności w FOG
Zobacz wszystkie- CVE-2026-47689Średnie
FOG (system do klonowania/obrazowania/zapasów) przed wersjami 1.5.10.1832 i 1.6.0-beta.2313 zawiera podatność na wstrzykiwanie HTML/JavaScript. Nieuwierzytelniony atakujący znający adres MAC hosta może przesłać złośliwe dane do /service/inventory.php, które są przechowywane w bazie. Gdy administrator otworzy zakładkę Group Inventory, kod wykona się w jego przeglądarce.
- CVE-2026-47687Wysokie
Podatność XSS w FOG (open-source narzędzie do klonowania/obrazowania) pozwala nieuwierzytelnionemu atakującemu, znającemu adres MAC hosta, na wstrzyknięcie złośliwego JavaScriptu poprzez parametr sysproduct. Ładunek wykonuje się w przeglądarce administratora podczas przeglądania raportów inwentaryzacji.
- CVE-2026-47685Wysokie
Podatność w FOG, wolnym systemie do klonowania, obrazowania, ratowania i zarządzania inwentarzem. Przed wersjami 1.5.10.1832 i 1.6.0-beta.2313, nieuwierzytelniony endpoint usługi inwentaryzacji (`/service/inventory.php`) przechowuje wartości dostarczone przez klienta bez sanityzacji, a strona zarządzania inwentarzem wyświetla statyczne pola inwentarza bez kodowania wyjścia, co umożliwia trwałe XSS w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Prior to versions 1.5.10.1832 and 1.6.0-beta.2313, the `clearAES` and `clearPMTasks` methods in `FOGPage` can be invoked by an unauthenticated attacker via a single HTTP GET request through the public `client` node endpoint. This allows remote wiping of host AES encryption credentials and deletion of all power management scheduled tasks, with no login, session, or CSRF token required. Versions 1.5.10.1832 and 1.6.0-beta.2313 fix the issue.