CVE-2026-35587

Glances, açık kaynaklı ve platformlar arası bir sistem izleme aracıdır. Versiyon 4.5.4 öncesinde, public_api yapılandırma parametresinin uygun şekilde doğrulanmaması nedeniyle Glances IP eklentisinde bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. public_api değeri, herhangi bir şema kısıtlaması veya ana bilgisayar adı/IP doğrulaması olmaksızın giden HTTP isteklerinde doğrudan kullanılmaktadır. Glances yapılandırmasını değiştirebilen bir saldırgan, uygulamayı rastgele dahili veya harici uç noktalara istek göndermeye zorlayabilir. Ek olarak, public_username ve public_password ayarlandığında, Glances bu kimlik bilgilerini otomatik olarak Authorization: Basic başlığına ekler ve bu durum kimlik bilgilerinin saldırgan tarafından kontrol edilen sunuculara sızmasına neden olur. Bu zafiyet; dahili ağ servislerine erişmek, bulut meta veri uç noktalarından hassas verileri almak ve/veya giden HTTP istekleri aracılığıyla kimlik bilgilerini dışarı sızdırmak için istismar edilebilir. Sorun, public_api değerinin herhangi bir doğrulama yapılmadan doğrudan HTTP istemcisine (urlopen_auth) aktarılmasından kaynaklanmakta olup, kısıtlanmamış giden bağlantılara ve hassas bilgilerin istenmeyen ifşasına olanak tanımaktadır. Versiyon 4.5.4 bir yama içermektedir.