CVE-2026-71862
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Checkmate od wersji 3.3.0 do 3.9.2, przy włączonym globalnym ustawieniu showURL, powoduje, że nieuwierzytelniony endpoint GET /api/v1/status-page/:url zwraca kompletne obiekty monitorów, w tym pole secret używane jako poświadczenie HTTP Authorization, mimo że nie jest ono wyświetlane w interfejsie.
Ocena ryzyka
Odwiedzający stronę statusu mogą wyodrębnić poświadczenia z odpowiedzi JSON i użyć ich przeciwko monitorowanym usługom, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Checkmate do wersji 3.9.2 lub nowszej, która zawiera poprawkę.
Inne podatności w Checkmate
Zobacz wszystkie- CVE-2026-36102Niskie ryzyko· EPSS 12%
Problem w komponencie inviteController.js w Bluewave Labs Checkmate w wersji 3.3.0 i wcześniejszych. Zdalny uwierzytelniony administrator może eskalować uprawnienia do superadmina poprzez parametr role w punkcie końcowym /api/v1/invite.
- CVE-2026-70656Średnie
W wersjach od 3.5.1 do 3.9.2 narzędzia Checkmate, uwierzytelniony administrator lub superadministrator może ustawić matchMethod na regex i umieścić złośliwe wyrażenie w polu expectedValue dla zaawansowanego dopasowywania monitora HTTP. Wyrażenie to jest oceniane synchronicznie na głównej pętli zdarzeń Node.js bez limitu czasu lub izolacji wątku, co pozwala na katastrofalne cofanie się (backtracking) i zamrożenie punktów API, kontroli monitorów oraz połączeń WebSocket dla wszystkich użytkowników. Problem został naprawiony w wersji 3.9.2.
- CVE-2026-55241Wysokie
Checkmate przed wersją 3.9.1 zawiera podatność na wyczerpanie pamięci w publicznym punkcie końcowym rejestracji. Niezautentykowany atakujący może wysłać wiele jednoczesnych, zbyt dużych plików, które są buforowane przed walidacją, co prowadzi do przeciążenia pamięci i awarii backendu.
- CVE-2026-72588Średnie
Podatność na enumerację użytkowników w bluewave-labs/Checkmate do wersji 2.1.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu określenie, czy dany adres e-mail jest zarejestrowany. Endpoint POST /api/v1/auth/recovery/request zwraca HTTP 200 dla zarejestrowanych adresów e-mail i inny kod statusu dla niezarejestrowanych, co umożliwia atakującym enumerację prawidłowych kont użytkowników.
Oryginalny opis (angielski, źródło NVD)
Checkmate is an open-source, self-hosted tool designed to track and monitor server hardware, uptime, response times, and incidents in real-time with beautiful visualizations. From 3.3.0 until 3.9.2, enabling the global showURL setting causes the unauthenticated GET /api/v1/status-page/:url endpoint to return complete monitor objects from server/src/controllers/statusPageController.ts. The response includes the secret field used by HttpProvider.ts as an HTTP Authorization credential, even though BaseStatusPage.tsx does not display that value, allowing visitors to extract credentials from the JSON response and use them against monitored services. This issue is fixed in version 3.9.2.