PT-2026-49094 · Glance · Glance
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Glances versões anteriores a 4.5.5
Description
O servidor XML-RPC (
glances -s) contém uma configuração incorreta em sua implementação de Cross-Origin Resource Sharing (CORS). Quando a variável cors origins é configurada com mais de uma entrada, o sistema reverte silenciosamente para o uso de um curinga (Access-Control-Allow-Origin: *), ignorando efetivamente as restrições de acesso pretendidas. Isso permite que uma página web maliciosa de qualquer origem envie uma requisição CORS simples para o endpoint /RPC2 e leia todo o conjunto de dados de monitoramento do sistema, incluindo o nome do host, versão do SO, lista completa de processos (que pode conter tokens ou senhas sensíveis) e estatísticas de rede.Recommendations
Atualize para a versão 4.5.5.
Como mitigação temporária, restrinja a configuração de
cors origins para um único origin ou evite usar o servidor XML-RPC em favor da API REST (glances -w).Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Glance