CVE-2026-58123
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Hermes WebUI przed wersją 0.51.788 zawiera nieuwierzytelnioną podatność zdalnego wykonania kodu, która umożliwia atakującym wykonanie dowolnych poleceń powłoki poprzez dostęp do punktów końcowych API terminala bez uwierzytelnienia. Atakujący może utworzyć sesję, podłączyć powłokę PTY i wysyłać dowolne polecenia przez punkt końcowy wejścia terminala, co prowadzi do pełnego wykonania poleceń jako użytkownik procesu serwera za pomocą czterech sekwencyjnych żądań HTTP.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego ataku na infrastrukturę sieciową.
Rekomendacja
Należy natychmiast zaktualizować Hermes WebUI do wersji 0.51.788 lub nowszej oraz ograniczyć dostęp do interfejsu zarządzania tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Hermes WebUI before 0.51.788 contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute arbitrary shell commands by accessing the embedded terminal API endpoints without credentials. Attackers can create a session, attach a PTY shell, and write arbitrary commands through the terminal input endpoint to achieve full command execution as the server process user via four sequential unauthenticated HTTP requests.