CVE-2026-79920
Açıklama
Ajenti, bir Linux ve BSD modüler sunucu yönetim panelidir. Versiyon 2.2.16 öncesinde, kimliği doğrulanmış herhangi bir kullanıcı, eklenti yönetimi yetkisi olmaksızın plugins/plugins/tasks.py içerisindeki InstallPlugin, UnInstallPlugin veya UpgradeAll işlemlerini sıraya almak için /api/core/tasks/start adresini çağırabilir. InstallPlugin ve UnInstallPlugin, doğrulanmamış isim ve versiyon alanlarından bir pip paket spesifikasyonu oluşturur ve görev çalıştırıcısı root olarak çalışırken pip'i çağırır. Bu nedenle, düşük yetkili bir kullanıcı, root ayrıcalıklarıyla yüklenen bir paketi seçebilir veya manipüle edebilir; ayrıca yönetici izni olmadan eklentileri yükleyebilir, kaldırabilir veya yükseltebilir, bu da root kod çalıştırmaya ve tüm ana makinenin ele geçirilmesine yol açar. Bu sorun versiyon 2.2.16 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ajenti ajenti | < 2.2.16 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.