CVE-2026-49973
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Hermes WebUI przed wersją 0.51.358 zawiera podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionym zdalnym atakującym na przejęcie początkowej konfiguracji poprzez wysłanie parametru _set_password do API ustawień bez ograniczeń pochodzenia sieciowego. Atakujący z dowolnej osiągalnej sieci mogą wysłać żądanie POST do punktu końcowego ustawień podczas okna pierwszej konfiguracji, aby utrwalić dowolny skrót hasła, uzyskać ważne ciasteczko sesji i zablokować legalnego operatora przed dostępem do własnej instancji.
Ocena ryzyka
Ryzyko polega na całkowitym przejęciu kontroli nad instancją Hermes WebUI przez nieautoryzowanego atakującego, co może prowadzić do wykluczenia administratora, kradzieży danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować Hermes WebUI do wersji 0.51.358 lub nowszej, która usuwa tę podatność. Dodatkowo, zaleca się ograniczenie dostępu do API ustawień tylko dla zaufanych sieci lub wdrożenie uwierzytelniania przed konfiguracją początkową.
Oryginalny opis (angielski, źródło NVD)
Hermes WebUI before version 0.51.358 contains an improper access control vulnerability that allows unauthenticated remote attackers to hijack initial setup by submitting the _set_password parameter to the settings API endpoint without any network origin restriction. Attackers on any reachable network can send a POST request to the settings endpoint during the first-run setup window to persist an arbitrary password hash, obtain a valid session cookie, and lock out the legitimate operator from their own instance.