CVE-2026-58122
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Hermes WebUI przed wersją 0.51.307 zawiera podatność polegającą na obejściu uwierzytelnienia, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć ograniczenia IP pochodzenia lokalnego w punktach końcowych dołączania poprzez spreparowanie nagłówka X-Forwarded-For z adresem pętli zwrotnej. Atakujący mogą wykorzystać to obejście do przeprowadzenia fałszowania żądań po stronie serwera (SSRF) wobec wewnętrznych usług, w tym punktów końcowych metadanych chmury, nadpisania konfiguracji dostawcy LLM i kluczy API wartościami kontrolowanymi przez atakującego lub zainicjowania przepływów kodu urządzenia OAuth w celu uzyskania trwałych tokenów dostępu przechowywanych w auth.json.
Ocena ryzyka
Ryzyko dla organizacji obejmuje nieautoryzowany dostęp do wrażliwych danych i usług wewnętrznych, możliwość przejęcia kontroli nad konfiguracją modeli językowych oraz kradzież tokenów dostępu, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Hermes WebUI do wersji 0.51.307 lub nowszej oraz wdrożenie walidacji nagłówka X-Forwarded-For w celu odrzucania adresów pętli zwrotnej z zewnętrznych źródeł.
Oryginalny opis (angielski, źródło NVD)
Hermes WebUI before 0.51.307 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to circumvent local-origin IP restrictions on onboarding endpoints by supplying a spoofed X-Forwarded-For header with a loopback address. Attackers can exploit this bypass to perform server-side request forgery against internal services including cloud metadata endpoints, overwrite LLM provider configuration and API keys with attacker-controlled values, or initiate OAuth device-code flows to obtain persistent access tokens stored in auth.json.