CVE-2026-58490

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: CWE-347
KEV Durumu: Hayır

Yayım tarihi: 6 Kasım 2026

Tracecat, takımlar ve AI ajanları için açık kaynaklı bir güvenlik otomasyon platformudur. 0.37.0 sürümünden 1.0.0-beta.49 sürümüne kadar, SAML etkin Docker Compose dağıtımları SAML_SIGNED_ASSERTIONS ve SAML_SIGNED_RESPONSES değerlerini boş olarak gösterebilir, böylece güvenli uygulama varsayılanlarını geçersiz kılar ve hem imza gereksinimlerini devre dışı bırakır. SAML assertion tüketici uç noktasına erişimi olan kimlik doğrulamayı geçersiz kılabilen bir saldırgan, mevcut bir Tracecat kullanıcı e-posta adresi için sahte imzalı olmayan bir yanıt gönderebilir ve bu kullanıcının oturumunu elde edebilir. Mevcut bir süper yöneticiyi hedeflemek, süper yöneticinin hesabının ele geçirilmesine neden olabilir. İstismar, SAML kullanıcı oluşturmanın devre dışı bırakıldığı durumlarda kullanıcı oluşturmaz ve varsayılan Fargate veya Helm dağıtımlarını etkilemez. 1.0.0-beta.49 sürümü, güvenli olmayan dağıtım geçişini kaldırır ve imzalı beyanları ve yanıtları gerektirir.

Orijinal açıklama (İngilizce)

Tracecat is an open-source security automation platform for teams and AI agents. From version 0.37.0 until 1.0.0-beta.49, Docker Compose deployments with SAML enabled can render SAML_SIGNED_ASSERTIONS and SAML_SIGNED_RESPONSES as empty values, overriding secure application defaults and disabling both signature requirements. An unauthenticated attacker who can reach the SAML assertion consumer endpoint can submit a forged unsigned response for an existing Tracecat user email address and obtain that user’s session. Targeting an existing superadmin can result in superadmin account takeover. Exploitation does not create users when SAML user creation is disabled and does not affect default Fargate or Helm deployments. Version 1.0.0-beta.49 removes the insecure deployment pass-through and requires signed assertions and responses.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.