CVE-2026-44888
Açıklama
Pi.Alert, web servis izleme özellikli bir WIFI / LAN davetsiz misafir tespit sistemidir. 2026-05-07 tarihinden önce, Pi.Alert'in SaveConfigFile() uç noktası, kullanıcı tarafından sağlanan sayısal yapılandırma değerlerini (örneğin SMTP_PORT) herhangi bir doğrulama yapmadan doğrudan pialert.conf dosyasına yazar. pialert.conf dosyası, arka plandaki cron işlemi tarafından her 3-5 dakikada bir Python'un exec() fonksiyonu aracılığıyla yüklendiğinden, bir saldırgan rastgele Python kodu enjekte edebilir ve kimlik doğrulaması gerektirmeyen işletim sistemi düzeyinde uzaktan kod çalıştırma (RCE) gerçekleştirebilir. Varsayılan kurulumlarda (PIALERT_WEB_PROTECTION = False), herhangi bir kimlik bilgisi gerekmez. Bu güvenlik açığı 2026-05-07 tarihinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| leiweibau Pi.Alert | < 2026-05-07 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.