CVE-2026-28280

osctrl bir osquery yönetim çözümüdür. Versiyon 0.5.0 öncesinde, `osctrl-admin` isteğe bağlı sorgu listesinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Sorgu düzeyinde izinlere sahip bir kullanıcı, isteğe bağlı bir sorgu çalıştırırken sorgu parametresi aracılığıyla rastgele JavaScript enjekte edebilir. Payload saklanır ve sorgu listesi sayfasını ziyaret eden herhangi bir kullanıcının (yöneticiler dahil) tarayıcısında yürütülür. Bu durum, yetkileri yükseltmek ve oturum açmış kullanıcı adına işlemler gerçekleştirmek için CSRF belirteci çıkarımı ile zincirlenebilir. Sorgu düzeyinde izinlere sahip (en düşük yetki seviyesi) bir saldırgan, sorgu listesini görüntüleyen tüm kullanıcıların tarayıcılarında rastgele JavaScript çalıştırabilir. Erişim seviyelerine bağlı olarak, bir yönetici payload'u çalıştırdığında bu durum platformun tamamen ele geçirilmesine yol açabilir. Sorun osctrl `v0.5.0` sürümünde düzeltilmiştir. Geçici bir çözüm olarak; sorgu düzeyindeki izinler güvenilir kullanıcılarla sınırlandırılmalı, sorgu listesi şüpheli payload'lar için izlenmeli ve/veya osctrl kullanıcı hesapları yetkisiz yöneticiler açısından gözden geçirilmelidir.