Podatności Fleet Server
3 znanych podatności CVE w Fleet Server, przetłumaczonych i ocenionych.
- CVE-2026-72676Średnie
Fleet Server ma podatność na wstrzykiwanie kodu (CWE-94), która może prowadzić do wykonania skryptów dostarczonych przez atakującego. Kibana akceptuje identyfikator konfiguracji wyjścia bez ograniczania go do bezpiecznych znaków. Identyfikator jest później umieszczany w skrypcie serwerowym budowanym przez Fleet Server, więc składnia skryptu osadzona w identyfikatorze staje się częścią wykonywanego skryptu.
- CVE-2026-72657Średnie
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Fleet Server może prowadzić do ujawnienia informacji. Decyzja autoryzacyjna dla pobierania artefaktów opierała się na wartości dostarczonej przez klienta, która nie była weryfikowana z rekordem serwera dotyczącym przypisania agenta. Uwierzytelniona strona posiadająca ważne poświadczenia agenta może pobrać politykę, do której agent nie jest przypisany.
- CVE-2026-56150Średnie
Podatność CWE-770 w Fleet Server umożliwia atakującemu wysłanie specjalnie spreparowanego żądania do punktu końcowego przesyłania plików, co prowadzi do nadmiernego zużycia pamięci i może spowodować odmowę usługi (DoS).