PT-2026-35924 · Cockpit · Cockpit

Felsec · Publicado 2026-04-29 · Atualizado 2026-04-29 · CVE-2026-38992

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Cockpit versões anteriores a 2.13.6

Descrição A execução arbitrária de código é possível através do parâmetro filter em múltiplos endpoints. Isso permite que um invasor execute comandos do sistema na infraestrutura subjacente utilizando o operador $func do MongoLite.

Recomendações Atualize para uma versão posterior a 2.13.5. Restrinja o uso do parâmetro filter nos endpoints afetados como uma medida de mitigação temporária.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-38992

GHSA-FM6C-RHCF-7439

Produtos afetados

Cockpit

Referências · 7

• 🔥 https://felsec.com/posts/cockpit-cms-2.13.5-multi-vulns · Exploit
• https://github.com/Cockpit-HQ/Cockpit · Nota
• https://github.com/Cockpit-HQ/Cockpit/releases/tag/2.14.0 · Nota
• https://twitter.com/CVEnew/status/2049594417351197031 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2049596182234632430 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-38992 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-fm6c-rhcf-7439 · Aviso do Fabricante