CVE-2026-49973
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 — wyżej niż 22% wszystkich znanych CVE
Streszczenie
Hermes WebUI przed wersją 0.51.358 zawiera podatność na niewłaściwą kontrolę dostępu, która pozwala nieautoryzowanym atakującym zdalnym na przejęcie początkowej konfiguracji poprzez przesłanie parametru _set_password do punktu końcowego API ustawień bez żadnych ograniczeń dotyczących pochodzenia sieciowego.
Ocena ryzyka
Atakujący mogą wysłać żądanie POST do punktu końcowego ustawień podczas pierwszego uruchomienia, co pozwala im na ustawienie dowolnego hasha hasła, uzyskanie ważnego ciasteczka sesyjnego i zablokowanie prawowitego operatora z własnej instancji.
Rekomendacja
Zaleca się aktualizację Hermes WebUI do wersji 0.51.358 lub nowszej, aby usunąć tę podatność oraz wdrożenie odpowiednich mechanizmów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Hermes WebUI before version 0.51.358 contains an improper access control vulnerability that allows unauthenticated remote attackers to hijack initial setup by submitting the _set_password parameter to the settings API endpoint without any network origin restriction. Attackers on any reachable network can send a POST request to the settings endpoint during the first-run setup window to persist an arbitrary password hash, obtain a valid session cookie, and lock out the legitimate operator from their own instance.