CVE-2026-44901

Wazuh təhdidlərin qarşısının alınması, aşkarlanması və onlara reaksiya vermək üçün istifadə olunan pulsuz və açıq mənbəli platformadır. 4.0.0 versiyasından 4.14.6-ya qədər və 5.0.0-beta2 versiyalarında, framework/wazuh/core/results.py faylındakı AffectedItemsWazuhResult.merge() funksiyası klaster işçisinin (worker) JSON cavabındakı sort_casting sahəsinə etibar edir. Paylanmış API birləşməsi zamanı hücumçu tərəfindən idarə olunan tip adları ağ siyahı olmadan Python daxili funksiyaları vasitəsilə həll edilir. Kompromisə uğramış bir işçi sort_casting dəyərini exec olaraq təyin edə və affected_items hissəsinə Python mənbə kodu yerləşdirə bilər ki, bu da çox sayda qovşaqdan gələn cavablar birləşdirildikdə master serverin həmin yükü (payload) root səlahiyyətləri ilə icra etməsinə səbəb olur. Bu problem 4.14.6 və 5.0.0-beta2 versiyalarında düzəldilmişdir.