CVE-2026-40077

NiskieCVSS 3.5

Opublikowano: 09/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Beszel to platforma do monitorowania serwerów. W wersjach przed 0.18.7 niektóre punkty końcowe API w hubie Beszel akceptują identyfikator systemu podany przez użytkownika i nie sprawdzają dalej, czy użytkownik powinien mieć dostęp do tego systemu. W rezultacie każdy uwierzytelniony użytkownik może uzyskać dostęp do tych tras dla dowolnego systemu, jeśli zna jego identyfikator. Identyfikatory systemów to losowe 15-znakowe ciągi alfanumeryczne, które nie są ujawniane wszystkim użytkownikom. Teoretycznie możliwe jest jednak wyliczenie prawidłowego identyfikatora systemu przez uwierzytelnionego użytkownika za pośrednictwem API sieciowego. Aby korzystać z punktów końcowych kontenerów, użytkownik musiałby również wyliczyć identyfikator kontenera, który jest 12-znakowym ciągiem szesnastkowym.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do danych monitorowania systemów, do których nie powinien mieć uprawnień, co może naruszyć poufność.

Rekomendacja

Zaktualizuj Beszel do wersji 0.18.7 lub nowszej.

Inne podatności w Beszel

CVE-2026-94382Średnie
Beszel w wersjach przed 0.19.0 zawiera podatność typu insecure direct object reference w handlerach POST i DELETE /api/beszel/user-alerts, która pozwala każdemu uwierzytelnionemu użytkownikowi tworzyć lub usuwać alerty w systemach, do których nie ma dostępu. Atakujący może podać dowolne identyfikatory systemów w treści żądania, aby zarejestrować reguły alertów i otrzymywać powiadomienia ujawniające nazwy i metryki docelowych systemów.

Oryginalny opis (angielski, źródło NVD)

Beszel is a server monitoring platform. Prior to 0.18.7, some API endpoints in the Beszel hub accept a user-supplied system ID and proceed without further checks that the user should have access to that system. As a result, any authenticated user can access these routes for any system if they know the system's ID. System IDs are random 15 character alphanumeric strings, and are not exposed to all users. However, it is theoretically possible for an authenticated user to enumerate a valid system ID via web API. To use the containers endpoints, the user would also need to enumerate a container ID, which is 12 digit hexadecimal string. This vulnerability is fixed in 0.18.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS