CVE-2026-42796
गंभीरप्रकाशित
Arelle < 2.39.10 में /rest/configure के माध्यम से बिना प्रमाणीकरण के RCE
- प्रकाशित
- 4 मई 2026
- अद्यतन
- 14 जुल॰ 2026
- सीएनए असाइन करना
- VulnCheck
- साक्ष्य देखे गए
- 26 अग॰ 2026
प्राथमिक सीवीएसएस
9.2/ 10गंभीर
Arelle < 2.39.10 में /rest/configure के माध्यम से बिना प्रमाणीकरण के RCE
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Arelle 2.39.10 से पहले के संस्करण में /rest/configure REST एंडपॉइंट में एक बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन भेद्यता मौजूद है, जो एक plugins क्वेरी पैरामीटर स्वीकार करता है और इसे बिना प्रमाणीकरण या प्राधिकरण के प्लगइन प्रबंधक को अग्रेषित करता है। हमलावर plugins पैरामीटर के माध्यम से एक दुर्भावनापूर्ण Python फ़ाइल के URL की आपूर्ति कर सकते हैं, जिससे Arelle वेबसर्वर उस हमलावर-नियंत्रित कोड को Arelle प्रक्रिया के भीतर उसके विशेषाधिकारों के साथ डाउनलोड और निष्पादित कर लेता है।
http/cves/2026/CVE-2026-42796.yaml
CVE-2026-42796 के लिए एक्सप्लॉइट कोड, एक प्रूफ-ऑफ-कॉन्सेप्ट जो इस कमजोरी को प्रदर्शित करता है।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।