CVE-2026-54554
Beschrijving NL
MIST is een gratis open-source cloning/imaging/rescue suite/voorraadbeheersysteem. Voorafgaand aan 1.5.10.1870 werd gemeld dat het beheer adInfo () -eindpunt in pakketten/web/lib/fog/fogpage.class.php de FOG_AD_DEFAULT_password-waarde in het domeinpass JSON-veld retourneerde en via node= ipxe kon worden verzonden zonder een geverifieerde sessie. De respons werd ook geconsumeerd door Active Directory-configuratie-interfaces voor hosts en groepen. Dit zou de standaard domein-join-referentie kunnen onthullen aan een externe niet-geverifieerde aanvrager. Deze kwetsbaarheid is opgelost in 1.5.10.1870.
Origineel (Engels) tonen
FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Prior to 1.5.10.1870, the management adInfo() endpoint in packages/web/lib/fog/fogpage.class.php was reported to return the FOG_AD_DEFAULT_PASSWORD value in its domainpass JSON field and to be dispatchable through node=ipxe without an authenticated session. The response was also consumed by host and group Active Directory configuration interfaces. This could disclose the default domain-join credential to a remote unauthenticated requester. This vulnerability is fixed in 1.5.10.1870.