CVE-2026-86426
LibreNMS قبل 26.8.0 تجاوز المصادقة عبر خلط نوع رمز API
- تم النشر
- 07/09/2026
- محدث
- 08/09/2026
- تخصيص CNA
- VulnCheck
- الأدلة المرصودة
- 28/10/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 91.2%
- تاريخ الموديل
- 27/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يحتوي LibreNMS قبل الإصدار 26.8.0 على ثغرة تجاوز المصادقة في واجهة REST API تتيح للمهاجمين غير المصادق عليهم الوصول إلى نقاط النهاية المحمية عبر إرسال قيم رقمية بدلاً من رموز نصية. يمكن للمهاجمين استغلال إكراه النوع في MySQL عبر إرسال أعداد صحيحة صغيرة مثل 0 حتى 9 لمطابقة تجزئات الرموز، مما يمنحهم الوصول إلى وظائف API بما في ذلك بيانات اعتماد الأجهزة والميزات الإدارية التي تتيح تنفيذ التعليمات البرمجية عن بُعد من خلال قوالب التنبيهات.
المصادر
http/cves/2026/CVE-2026-86426.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
إطار عمل لإثبات المفهوم والاستطلاع لـ CVE-2026-86426، وهو تجاوز للمصادقة في واجهة برمجة تطبيقات LibreNMS عبر الخلط بين الأنواع، يستخرج بيانات اعتماد SNMP ويرسم خريطة طوبولوجيا الشبكة.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.