NextScan 1.1.0 - 1.2.0 содержит жесткие коды учетных данных HTTP Basic Auth в маршрутизаторах ns-admin AuthAgent и AuthExternal, которые позволяют неаутентифицированным злоумышленникам получить доступ к защищенному APIs. Злоумышленники могут вызывать /agent/config, чтобы получить пароли Redis, детали etcd и токен сервера, а также выдавать себя за узлы сканирования с помощью регистрации, сердцебиения и конечных точек журнала.
Показать оригинальное описание (EN)
NextScan 1.1.0 through 1.2.0 contains hardcoded HTTP Basic Auth credentials in ns-admin's AuthAgent and AuthExternal routers that allow unauthenticated attackers to access protected APIs. Attackers can call /agent/config to obtain Redis passwords, etcd details and the server token, and impersonate scan nodes via registration, heartbeat and logging endpoints.
Характеристики атаки
Последствия
Строка CVSS v4.0