CVE-2026-49447

ŚrednieCVSS 5.3

Opublikowano: 28/07/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Cosmos w wersji 0.22.18 ujawnia metadane urządzeń Constellation każdemu żądającemu, który poda niepusty nagłówek Authorization. Handler usuwa prefiks 'Bearer ' z nagłówka, ale nie weryfikuje tokena ani nie używa go w zapytaniu do bazy danych.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać metadane urządzeń Constellation, co może prowadzić do wycieku informacji o infrastrukturze.

Rekomendacja

Zaleca się aktualizację do wersji 0.22.19, która zawiera poprawkę.

Inne podatności w Cosmos

CVE-2026-49446Średnie
W Cosmos przed wersją 0.22.19 funkcja tokenMiddleware w src/proxy/routerGen.go może powrócić przez obejście tunelu Constellation przed usunięciem nagłówków x-cosmos-user, x-cosmos-role, x-cosmos-user-role i x-cosmos-mfa oraz przed wywołaniem AdminOnlyWithRedirect. Atakujący z ważnym kluczem API x-cstln-auth dla zarejestrowanego urządzenia, który dotrze do Cosmos przez tunel Constellation Nebula, może podać wybraną wartość x-cosmos-user do trasy z włączonym AuthEnabled, gdy aplikacja nadrzędna ufa temu nagłówkowi forward-auth.

Oryginalny opis (angielski, źródło NVD)

Cosmos provides users the ability self-host a home server by acting as a secure gateway to your application, as well as a server manager. In 0.22.18, `GET /cosmos/api/constellation/public-devices` discloses Constellation device metadata to a requester that supplies any non-empty Authorization header. The handler strips the string Bearer from the header but never validates the resulting token and never uses it in the database query. This vulnerability is fixed in 0.22.19.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS