8.6
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Wazuh versions from 4.6.0 before 4.14.8 contain an authentication bypass vulnerability where security.update_user places the reserved user guard and password policy inside a falsy truthiness check. A delegated user administrator can send an empty password to the user update endpoint, bypassing the reserved user guard to take over the wazuh superuser account and authenticate with empty credentials.
Засегнати продукти
- Wazuh wazuh-manager: 4.6.0 преди 4.14.8; 4.14.8
Вид слабост
История
- 13 октомври 2026 Публикувано
Други уязвимости в Wazuh wazuh-manager
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-74035
- https://nvd.nist.gov/vuln/detail/CVE-2026-74035
- https://github.com/wazuh/wazuh/security/advisories/GHSA-27gv-q7q6-f5qh
- https://github.com/wazuh/wazuh/releases/tag/v4.14.8
- https://www.vulncheck.com/advisories/wazuh-4.6.0-before-4.14.8-authentication-bypass-via-empty-password-in-update-user