CVE-2026-48786

Fleet, osquery əsasında qurulmuş açıq mənbəli cihaz idarəetmə platformasıdır. 4.87.0 versiyasından əvvəlki versiyalarda hədəf axtarış nöqtəsi (POST /api/latest/fleet/targets), aşağı imtiyazlı observer sinfi istifadəçilərə maskalanmamış komanda qeydiyyat gizlinlərini və etibarnamə ehtiva edən agent seçimləri də daxil olmaqla tam komanda konfiqurasiyasını qaytarırdı. Digər komandaya yönəlmiş son nöqtələr bu sahələri observer-lər üçün maskalasa da, hədəf axtarış nöqtəsi eyni təmizləmə prosesini tətbiq etmir və buna görə də qlobal və ya komanda səviyyəli Observer, Observer+ və ya Technician roluna malik autentifikasiya olunmuş istifadəçi, observer tərəfindən icra edilə bilən sorğu vasitəsilə hədəf axtarışı apararaq gizlinləri və agent seçimlərini əldə edə bilirdi. Sızmış komanda qeydiyyat gizlini istifadə edərək hücumçu təsirə məruz qalan komandaya icazəsiz hostları qeyd edə bildiyi kimi, əgər komandanın agent seçimləri AWS gizli giriş açarları və ya proksi şifrələri kimi etibarnamələr ehtiva edirdisə, həmin dəyərlər də açıqlanırdı. Bu problem 4.87.0 versiyasında düzəldilmişdir.