CVE-2026-91147

ŚrednieCVSS 5.9

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W usłudze cockpit-ws występuje podatność na atak DoS. Zdalny, nieuwierzytelniony atakujący może wysłać specjalnie spreparowane żądanie, które w przypadku skonfigurowanego WebService.UrlRoot i braku końcowego ukośnika powoduje nieoczekiwane zakończenie działania usługi.

Ocena ryzyka

Atak może doprowadzić do niedostępności usługi Cockpit, co uniemożliwi zarządzanie systemem przez interfejs webowy.

Rekomendacja

Należy zaktualizować cockpit-ws do wersji zawierającej poprawkę lub zastosować dostępne obejście problemu.

Inne podatności w cockpit-ws

CVE-2026-76235Wysokie
W produkcie cockpit-ws wykryto wyciek pamięci. Obsługa strony logowania przydziela pamięć na stercie przy każdym nieuwierzytelnionym żądaniu zawierającym ciasteczko CockpitLang, co pozwala zdalnemu atakującemu bez uwierzytelnienia wyczerpać pamięć hosta i spowodować odmowę usługi.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in `cockpit-ws`. This vulnerability allows a remote, unauthenticated attacker to cause a Denial of Service (DoS) by sending a specially crafted request. When the `WebService.UrlRoot` is configured and a request is made to the exact URL-root prefix without a trailing slash, `cockpit-ws` can terminate unexpectedly. This issue leads to the unavailability of the Cockpit web service.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS