CVE-2026-41424
Analyse NVD en cours
Wazuh is a free and open source platform used for threat prevention, detection, and response. From 4.9.0 until 4.10.4 and 4.14.6, PUT /security/users/{user_id} in api/api/controllers/security_controller.py passes request.get("user") instead of request.context['token_info']['sub'] as current_user. remove_nones_to_dict() removes the resulting None value, so the reserved-account protection in framework/wazuh/security.py cannot verify who is making the request. An authenticated user with the users_admin role can overwrite the password of protected administrator accounts with user IDs at or below 99, including the wazuh superuser, and gain full administrative control. This issue is fixed in versions 4.10.4 and 4.14.6.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, avec un compte privilégié et sans action de la victime.
- Impact
- Un attaquant peut lire certaines données, altérer certaines données et mettre le service hors ligne. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- Le contrôle d’autorisation existe mais sa logique est fausse.
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.