CVE-2026-33533
Açıklama
Glances, açık kaynaklı ve platformlar arası bir sistem izleme aracıdır. Versiyon 4.5.3 öncesinde, Glances XML-RPC sunucusu (glances -s veya glances --server ile etkinleştirilir), her HTTP yanıtında Access-Control-Allow-Origin: * başlığını gönderir. XML-RPC işleyicisi Content-Type başlığını doğrulamadığı için, saldırgan tarafından kontrol edilen bir web sayfası, geçerli bir XML-RPC yükü içeren bir CORS "basit isteği" (Content-Type: text/plain ile POST) gönderebilir. Tarayıcı, ön uç (preflight) kontrolü yapmadan isteği gönderir; sunucu XML gövdesini işler ve tüm sistem izleme veri setini döndürür; joker karakterli CORS başlığı ise saldırganın JavaScript kodunun yanıtı okumasına izin verir. Bunun sonucunda ana makine adı, işletim sistemi sürümü, IP adresleri, CPU/bellek/disk/ağ istatistikleri ve komut satırlarını da içeren tam işlem listesi (bunlar genellikle tokenlar, parolalar veya dahili yollar içerir) tamamen sızdırılır. Bu sorun versiyon 4.5.3 ile düzeltilmiştir.
Nasıl düzeltilir
- nicolargo glances4.5.3 ya da sonraki bir sürüm
- glances4.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nicolargo glances | v < 4.5.3 | 4.5.3 |
| glancesPyPI | v < 4.5.3 | 4.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.