6.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Uptime Kuma through 2.5.8 contains a race condition in the Socket.IO first-run setup handler that allows unauthenticated attackers to create an additional administrator account. Attackers can send concurrent setup requests during the bcrypt hashing window to bypass the empty user table check, then modify monitors, API keys, and enable disableAuth.
Засегнати продукти
- louislam uptime-kuma: до 2.5.8
Вид слабост
История
- 30 октомври 2026 Публикувано
Други уязвимости в louislam uptime-kuma
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-119552
- https://nvd.nist.gov/vuln/detail/CVE-2026-119552
- https://github.com/louislam/uptime-kuma/blob/2.5.8/server/server.js#L705-L722
- https://abraxaslabs.tech/research/uptime-kuma-setup-toctou
- https://github.com/louislam/uptime-kuma
- https://www.vulncheck.com/advisories/uptime-kuma-through-2.5.8-race-condition-admin-creation-via-setup-handler