7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
SecObserve versions before 1.59.1 contain an information disclosure vulnerability in the ApiConfigurationSerializer that fails to strip the basic_auth_password field from API configuration responses. View-only product members can retrieve the decrypted basic-auth password of configured scanner or integration service accounts through standard REST endpoints.
Засегнати продукти
- SecObserve SecObserve: 1.17.0 преди 1.59.1
Вид слабост
История
- 16 септември 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-92759
- https://nvd.nist.gov/vuln/detail/CVE-2026-92759
- https://github.com/SecObserve/SecObserve/issues/4799
- https://github.com/SecObserve/SecObserve
- https://github.com/SecObserve/SecObserve/security/advisories/GHSA-r968-78vw-jj9m
- https://github.com/SecObserve/SecObserve/blob/v1.54.0/backend/application/import_observations/api/serializers.py#L103-L119
- https://github.com/SecObserve/SecObserve/releases/tag/v1.59.1
- https://www.vulncheck.com/advisories/secobserve-before-1.59.1-information-disclosure-via-api-configuration