4.2
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Beszel before 0.19.0 contains an insecure direct object reference vulnerability in the POST and DELETE /api/beszel/user-alerts handlers that allows any authenticated user to create or delete alerts on systems they cannot access. Attackers can supply arbitrary system IDs in the request body to register alert rules and receive notifications disclosing target system names and metrics.
Засегнати продукти
- henrygd beszel: преди 0.19.0; 0.19.0
Вид слабост
История
- 21 септември 2026 Публикувано
Други уязвимости в henrygd beszel
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-94382
- https://nvd.nist.gov/vuln/detail/CVE-2026-94382
- https://github.com/henrygd/beszel/security/advisories/GHSA-759g-ch5m-2gch
- https://github.com/henrygd/beszel/commit/6f92b9396dfbacaf71c20444d175af78e0517409
- https://github.com/henrygd/beszel/blob/v0.18.8/internal/alerts/alerts_api.go#L19-L80
- https://github.com/henrygd/beszel/releases/tag/v0.19.0
- https://github.com/henrygd/beszel
- https://www.vulncheck.com/advisories/beszel-before-0.19.0-insecure-direct-object-reference-via-user-alerts