高 7.7

Foreman の脆弱性により view_hosts 権限のユーザーに機密情報が漏えいする

CVE-2026-107443 SecPulse初出 5:04

概要

view_hosts 権限を持つ認証済みユーザーが、APIのホストテンプレート描画エンドポイントを通じてホストのプロビジョニングテンプレートの内容を取得でき、rootパスワードなどの機密情報が漏えいするおそれがあります。CVE-2026-96659の修正が不完全だったことが原因で、CVSSスコアは7.7です。修正版の情報は、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in Foreman. An authenticated user with view_hosts privileges can retrieve rendered provisioning template content for a host via the hosts template API endpoint, disclosing sensitive data such as the host root password. This is an incomplete fix of CVE-2026-96659, which hardened the web UI preview path but left the API host-template render path authorized for Viewer-level users.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory