CVE-2026-48786

Fleet, osquery üzerine kurulu açık kaynaklı bir cihaz yönetim platformudur. 4.87.0 öncesi sürümlerde, hedef arama uç noktası (POST /api/latest/fleet/targets) düşük ayrıcalıklı gözlemci sınıfındaki kullanıcılara maskelenmemiş takım kayıt sırlarını ve kimlik bilgisi içeren ajan seçenekleri dahil olmak üzere tam takım yapılandırmasını döndürüyordu. Takıma yönelik diğer uç noktalar bu alanları gözlemciler için maskelerken, hedef arama uç noktası aynı temizlemeyi uygulamıyordu; bu nedenle Observer, Observer+ veya Technician rolüne sahip kimliği doğrulanmış bir kullanıcı, global veya takım kapsamlı olsun, gözlemcinin çalıştırabileceği bir sorguya karşı hedef arama yaparak sırları ve ajan seçeneklerini elde edebiliyordu. Sızdırılan bir takım kayıt sırrı ile bir saldırgan, yetkisiz ana makineleri etkilenen takıma kaydedebilir ve takımın ajan seçenekleri AWS gizli erişim anahtarları veya proxy parolaları gibi kimlik bilgileri içeriyorsa bu değerler de ifşa ediliyordu. Bu sorun 4.87.0 sürümünde giderilmiştir.