CVE-2026-44901

Wazuh; tehdit önleme, tespit ve yanıt için kullanılan ücretsiz ve açık kaynaklı bir platformdur. 4.0.0 ile 4.14.6 ve 5.0.0-beta2 arasındaki sürümlerde, framework/wazuh/core/results.py dosyasındaki AffectedItemsWazuhResult.merge() fonksiyonu, bir küme çalışanının (cluster worker) JSON yanıtındaki sort_casting alanına güvenir. Dağıtık bir API birleştirme işlemi sırasında, saldırgan tarafından kontrol edilen tip adları, bir izin listesi olmaksızın Python yerleşik fonksiyonları aracılığıyla çözümlenir. Ele geçirilmiş bir çalışan, sort_casting değerini exec olarak ayarlayabilir ve affected_items kısmına Python kaynak kodu yerleştirebilir; bu durum, birden fazla düğümden gelen yanıtlar birleştirildiğinde ana sunucunun (master) yükü root yetkileriyle çalıştırmasına neden olur. Bu sorun 4.14.6 ve 5.0.0-beta2 sürümlerinde düzeltilmiştir.