6.9
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
TheHive through 4.1.24 contains an unauthenticated information disclosure vulnerability that allows unauthenticated attackers to retrieve sensitive configuration data by sending a GET request to the /api/status endpoint, which lacks authentication enforcement in the StatusCtrl.scala handler. Attackers can obtain the datastore attachment protection password, configured authentication providers, SSO settings, MFA capabilities, and clustered node addresses and roles without any credentials.
Засегнати продукти
- TheHive-Project TheHive: до 4.1.24
Вид слабост
История
- 17 юли 2026 Публикувано
Други уязвимости в TheHive-Project TheHive
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-63098
- https://nvd.nist.gov/vuln/detail/CVE-2026-63098
- https://github.com/geo-chen/oss/blob/main/TheHive.md#finding-1-get-apistatus-exposes-attachment-protection-password-without-authentication
- https://www.vulncheck.com/advisories/thehive-unauthenticated-information-disclosure-via-api-status-endpoint