CVE-2026-84990
Açıklama
ntopng, web tabanlı bir ağ trafiği izleme uygulamasıdır. 6.7.260718 sürümünden önce, scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua ve scripts/lua/rest/v2/get/system/configurations/download_backup.lua dosyaları, kimliği doğrulanmış herhangi bir yönetici olmayan kullanıcının, yönetici kontrolü olmaksızın sistem yapılandırma yedeklerini listelemesine ve indirmesine izin vermektedir. İndirme yolu backup_config.export_backup kısmına ulaşmakta ve prefs_dump_utils.build_prefs_dump_table, yedeğe ntopng.user.* Redis anahtar alanını dahil etmektedir. Bu nedenle, indirilen bir yedek; yerel kullanıcılar için parola özetlerini ve yapılandırılmışsa API token'larını, TOTP sırlarını ve WebAuthn kimlik bilgisi verilerini ifşa ederek kullanılabilir veya geri kazanılabilir kimlik bilgileri aracılığıyla hesapların ele geçirilmesine olanak tanıyabilir. Bu sorun 6.7.260718 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ntop ntopng | < 6.7.260718 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.