CVE-2026-119552
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Uptime Kuma do wersji 2.5.8 zawiera warunek wyścigu w obsłudze pierwszego uruchomienia Socket.IO, który pozwala nieuwierzytelnionym atakującym utworzyć dodatkowe konto administratora. Atakujący mogą wysłać równoczesne żądania konfiguracji w oknie hashowania bcrypt, aby ominąć sprawdzenie pustej tabeli użytkowników, a następnie modyfikować monitory, klucze API i włączyć disableAuth.
Ocena ryzyka
Atakujący może uzyskać uprawnienia administratora, co prowadzi do pełnej kontroli nad systemem monitorowania i możliwości wyłączenia uwierzytelniania.
Rekomendacja
Zaktualizuj Uptime Kuma do wersji nowszej niż 2.5.8 lub wdroż poprawkę producenta. Do czasu aktualizacji ogranicz dostęp sieciowy do interfejsu konfiguracji.
Inne podatności w Uptime Kuma
Zobacz wszystkie- CVE-2026-71285Wysokie
Integracja z Matomo w Uptime Kuma wstrzykuje wartość Matomo skonfigurowaną przez administratora jako niecytowane wyrażenie JavaScript w bloku <script> na każdej publicznej stronie statusu. Wartość siteId, taka jak , po zapisaniu przez edytora/admina, wykonuje dowolny JavaScript dla każdego nieuwierzytelnionego odwiedzającego publiczną stronę /status/<slug>, umożliwiając kradzież ciasteczek sesji i pełne przejęcie strony.
- CVE-2023-36822Średnie
Uptime Kuma, narzędzie do monitorowania, ma podatność na traversję ścieżki w wersjach przed 1.22.1. Umożliwia to uwierzytelnionym użytkownikom usuwanie plików z serwera, co może prowadzić do utraty danych i niedostępności systemu.
- CVE-2023-36821Wysokie
Uptime Kuma, narzędzie do monitorowania, pozwala uwierzytelnionemu atakującemu na zainstalowanie złośliwego pluginu w wersjach przed 1.22.1, co może prowadzić do zdalnego wykonania kodu. Mimo że funkcja instalacji pluginów jest obecnie wyłączona w interfejsie webowym, odpowiednie punkty końcowe API są nadal dostępne po zalogowaniu.
Oryginalny opis (angielski, źródło NVD)
Uptime Kuma through 2.5.8 contains a race condition in the Socket.IO first-run setup handler that allows unauthenticated attackers to create an additional administrator account. Attackers can send concurrent setup requests during the bcrypt hashing window to bypass the empty user table check, then modify monitors, API keys, and enable disableAuth.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS