CVE-2026-54085

Wazuh, uç noktalar ve bulut iş yükleri için birleşik XDR ve SIEM koruması sağlayan açık kaynaklı bir güvenlik platformudur. 4.2.0 ile 4.14.6 arasındaki sürümlerde, birden fazla aktif yanıt betiği, saldırgan tarafından etkilenen uyarı alanlarını biçimlerini doğrulamadan ayrıcalıklı sistem komutlarına aktarmakta ve bu durum root olarak çalışan araçlara argüman enjeksiyonuna izin vermektedir. srcip alanını işleyen sekiz betikten beşi olan route-null.c, netsh.c, pf.c, npf.c ve ipfw.c, IP dışı girdileri reddeden get_ip_version() kontrolünü atlamaktadır; disable-account.c ise dstuser alanını passwd/chuser komutlarına yalnızca "root" ile karşılaştırma yaparak aktarmaktadır. Örneğin syslog üzerinden özel olarak hazırlanmış günlük olayları enjekte edebilen bir saldırgan, bir aktif yanıt kuralı tetiklendiğinde pfctl, npfctl, ipfw, route, netsh ve passwd gibi güvenlik duvarı ve hesap yönetimi komutlarına doğrulanmadan aktarılan srcip veya dstuser değerleri sağlayabilir. Bu durum ek komut argümanlarının enjekte edilmesine olanak tanır ve Windows üzerinde wpopenv() içindeki tırnak içine alınmamış CreateProcess komut satırı birleştirmesi, boşluk içeren bir srcip'nin daha fazla argüman eklemesine izin verirken, disable-account.c rastgele sistem hesaplarını kilitlemek için kötüye kullanılabilir. Bu sorun 4.14.7 sürümünde düzeltilmiştir.