CVE-2026-58123

Kritik

Açıklama

0.51.788 sürümünden önceki Hermes WebUI, uzak saldırganların kimlik bilgileri olmadan gömülü terminal API uç noktalarına erişerek keyfi kabuk komutları yürütmesine olanak tanıyan, kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar; bir oturum oluşturup, bir PTY kabuğu ekleyip ve terminal giriş uç noktası üzerinden keyfi komutlar yazarak, ardışık dört kimlik doğrulamasız HTTP isteği aracılığıyla sunucu işlem kullanıcısı olarak tam komut yürütme sağlayabilirler.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

ÜrünNesquena Hermes-webui

Yayın9 Tem 2026

İlk görülme9 Tem 2026

Zayıflık türüCWE-306Kritik işlevde kimlik doğrulama eksikliği

Nasıl düzeltilir

Güncelleyin

nesquena hermes-webui0.51.788 ya da sonraki bir sürüm

Yamalar

github.com/nesquena/hermes-webui/commit/d257e5f36cfa9328600c8bde6f0de09a6ad9b6f4

Üretici duyuruları

github.com/nesquena/hermes-webui/releases/tag/v0.51.788

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
nesquena hermes-webui	v < 0.51.788	0.51.788

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.