Към съдържанието
Търсене

CVE-2026-49973: nesquena hermes-webui, заобикаляне на вход и права

9.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Hermes WebUI before version 0.51.358 contains an improper access control vulnerability that allows unauthenticated remote attackers to hijack initial setup by submitting the _set_password parameter to the settings API endpoint without any network origin restriction. Attackers on any reachable network can send a POST request to the settings endpoint during the first-run setup window to persist an arbitrary password hash, obtain a valid session cookie, and lock out the legitimate operator from their own instance.

Засегнати продукти

  • nesquena hermes-webui: преди 0.51.358

Вид слабост

История

  • 11 юни 2026 Публикувано

Други уязвимости в nesquena hermes-webui

Първоизточници

CVE-2026-49973: nesquena hermes-webui, заобикаляне на вход и права | freedomonline.bg