CVE-2026-94382

ŚrednieCVSS 4.2

Opublikowano: 21/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 21/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Beszel w wersjach przed 0.19.0 zawiera podatność typu insecure direct object reference w handlerach POST i DELETE /api/beszel/user-alerts, która pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć lub usuwać alerty w systemach, do których nie ma dostępu. Atakujący może podać dowolne identyfikatory systemów w treści żądania, aby zarejestrować reguły alertów i otrzymywać powiadomienia ujawniające nazwy i metryki docelowych systemów.

Ocena ryzyka

Uwierzytelniony użytkownik może tworzyć lub usuwać alerty w systemach, do których nie ma uprawnień, oraz otrzymywać powiadomienia ujawniające nazwy i metryki tych systemów. Może to prowadzić do wycieku informacji o infrastrukturze oraz manipulacji alertami.

Rekomendacja

Zaktualizuj Beszel do wersji 0.19.0 lub nowszej. Do czasu aktualizacji ogranicz dostęp do API user-alerts oraz monitoruj nietypowe operacje tworzenia i usuwania alertów.

Inne podatności w Beszel

CVE-2026-40077Niskie
Beszel to platforma do monitorowania serwerów. W wersjach przed 0.18.7 niektóre punkty końcowe API w hubie Beszel akceptują identyfikator systemu podany przez użytkownika i nie sprawdzają dalej, czy użytkownik powinien mieć dostęp do tego systemu. W rezultacie każdy uwierzytelniony użytkownik może uzyskać dostęp do tych tras dla dowolnego systemu, jeśli zna jego identyfikator. Identyfikatory systemów to losowe 15-znakowe ciągi alfanumeryczne, które nie są ujawniane wszystkim użytkownikom. Teoretycznie możliwe jest jednak wyliczenie prawidłowego identyfikatora systemu przez uwierzytelnionego użytkownika za pośrednictwem API sieciowego. Aby korzystać z punktów końcowych kontenerów, użytkownik musiałby również wyliczyć identyfikator kontenera, który jest 12-znakowym ciągiem szesnastkowym.

Oryginalny opis (angielski, źródło NVD)

Beszel before 0.19.0 contains an insecure direct object reference vulnerability in the POST and DELETE /api/beszel/user-alerts handlers that allows any authenticated user to create or delete alerts on systems they cannot access. Attackers can supply arbitrary system IDs in the request body to register alert rules and receive notifications disclosing target system names and metrics.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS