PT-2026-24167 · Glance · Glance
Neo-Ai-Engineer
+1
·
Publicado
2026-03-07
·
Atualizado
2026-03-22
·
CVE-2026-30928
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Glances anteriores à 4.5.1
Descrição
O Glances é uma ferramenta de monitoramento de sistema multiplataforma. O ponto de extremidade da API REST '/api/4/config' retorna todo o arquivo de configuração do Glances (glances.conf) sem filtrar valores sensíveis. Este arquivo de configuração contém credenciais para serviços de backend, incluindo senhas de banco de dados, tokens de API, chaves de assinatura JWT e senhas de chaves SSL. A vulnerabilidade decorre do método
as dict() em config.py, que percorre todas as seções e chaves de configuração sem aplicar nenhuma ocultação. O ponto de extremidade da API não possui autenticação quando iniciado sem uma senha. A exploração envolve recuperar o arquivo de configuração por meio de uma solicitação HTTP simples, permitindo que atacantes extraiam informações sensíveis e possivelmente comprometam toda a infraestrutura.Recomendações
As versões do Glances anteriores à 4.5.1 devem ser atualizadas para a versão 4.5.1 ou posterior.
Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Glance