CVE-2026-32632
Açıklama
Glances, açık kaynaklı ve platformlar arası bir sistem izleme aracıdır. Glances yakın zamanda MCP uç noktası için DNS rebinding koruması eklemiştir ancak sürüm 4.5.2 öncesinde, ana REST/WebUI FastAPI uygulaması rastgele `Host` başlıklarını kabul etmeye devam etmekte ve `TrustedHostMiddleware` veya eşdeğer bir ana bilgisayar izin listesi uygulamamaktadır. Sonuç olarak; REST API, WebUI ve token uç noktaları, klasik DNS rebinding senaryolarında saldırgan tarafından kontrol edilen alan adları üzerinden erişilebilir durumdadır. Kurban tarayıcı, saldırgan alan adını Glances servisine yeniden bağladığında (rebind), tarayıcı bu yeniden bağlanmış alan adını köken (origin) olarak kabul ettiği için aynı köken politikası (same-origin policy) artık API'yi korumamaktadır. Bu durum, daha önce bildirilen varsayılan CORS zafiyetinden farklı bir sorundur. Burada istismar için CORS gerekli değildir çünkü DNS rebinding, kurban tarayıcının kötü amaçlı alan adını hedefle aynı kökende görmesine neden olur. Sürüm 4.5.2, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- nicolargo glances4.5.2 ya da sonraki bir sürüm
- glances4.5.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nicolargo glances | v < 4.5.2 | 4.5.2 |
| glancesPyPI | v < 4.5.2 | 4.5.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.