Przejdź do treści
Alerty bezpieczeństwa 2 min czytania

CVE-2026-58123: nieuwierzytelnione RCE przez wbudowane API terminala w Hermes WebUI (CVSS 9.8)

Endpointy wbudowanego terminala są dostępne bez poświadczeń — czterema kolejnymi żądaniami HTTP można utworzyć sesję, podpiąć powłokę PTY i wykonać komendy...

Podsumowanie

ParametrWartość
CVE IDCVE-2026-58123
Źródło alertuGitHub Advisory - Krytyczna podatność
Rok publikacji CVE2026
Data publikacji2026-07-10
Producent
Produkt
CVSS Score9.8 (Krytyczny)
EPSS ScoreBrak danych
CISA KEVNie
RansomwareNie potwierdzono

Opis podatności

Źródło: NVD

Hermes WebUI w wersjach przed 0.51.788 zawiera podatność umożliwiającą nieuwierzytelnione zdalne wykonanie kodu, która pozwala zdalnym atakującym wykonywać dowolne komendy powłoki przez dostęp do endpointów API wbudowanego terminala bez poświadczeń. Atakujący mogą utworzyć sesję, podpiąć powłokę PTY i zapisywać dowolne komendy przez endpoint wejścia terminala, osiągając pełne wykonanie komend jako użytkownik procesu serwera — za pomocą czterech kolejnych, nieuwierzytelnionych żądań HTTP.

Wymagane działania

Zastosuj poprawki lub środki zaradcze producenta niezwłocznie po ich udostępnieniu.

Kogo dotyczy?

Podatność dotyczy oprogramowania wskazanego w opisie CVE. Sprawdź, czy Twoja organizacja używa tego oprogramowania i czy wymaga aktualizacji.

Źródła


Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.

Udostępnij:

Porozmawiaj z ekspertem

Masz pytania dotyczące tego tematu? Skontaktuj się z naszym opiekunem.

Opiekun handlowy
Grzegorz Gnych

Grzegorz Gnych

Opiekun handlowy

Odpowiedź w ciągu 24 godzin
Bezpłatna konsultacja
Indywidualne podejście

Podanie numeru telefonu przyspieszy kontakt.

Chcesz obniżyć ryzyko i koszty IT?

Umów bezpłatną konsultację - odpowiemy w ciągu 24h

Odpowiedź w 24h Bezpłatna wycena Bez zobowiązań

Lub pobierz bezpłatny przewodnik:

Pobierz checklistę NIS2