PT-2026-40971 · Fleet · Fleet

Secfox-Ai · Publicado 2026-05-14 · Atualizado 2026-05-18 · CVE-2026-26191

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Fleet versões anteriores a 4.81.0

Description Uma falha no pipeline do instalador de software permite que um pacote de software manipulado execute comandos arbitrários como root no macOS e Linux, ou como SYSTEM no Windows, quando uma desinstalação é acionada. Quando pacotes como .pkg, .deb, .rpm, .exe ou .msi são carregados, metadados são extraídos do binário para gerar scripts de desinstalação. Esses metadados não são devidamente sanitizados, o que significa que um pacote com valores maliciosos em seus campos de metadados pode levar à execução de comandos não intencionais em endpoints gerenciados.

Recommendations Atualize para a versão 4.81.0. Evite carregar pacotes de software de fontes não confiáveis ou não verificadas. Inspecione e edite manualmente os scripts de desinstalação gerados automaticamente antes da implantação.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-26191

GHSA-9VCR-G537-3W5V

Produtos afetados

Fleet

Referências · 6

• https://github.com/fleetdm/fleet · Nota
• https://github.com/fleetdm/fleet/security/advisories/GHSA-9vcr-g537-3w5v · Aviso do Fabricante
• https://github.com/fleetdm/fleet/releases/tag/fleet-v4.81.1 · Nota
• https://t.me/cveNotify/163855 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-9vcr-g537-3w5v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-26191 · Nota de Segurança