OneUptime: नोटिफिकेशन एंडपॉइंट्स पर प्रमाणीकरण (Authentication) गायब है

OneUptime में CVE-2026-34758 नोटिफिकेशन टेस्ट और फोन नंबर मैनेजमेंट एंडपॉइंट्स तक अनधिकृत पहुंच की अनुमति देता है। यह SMS, कॉल, ईमेल और WhatsApp के दुरुपयोग के साथ-साथ फोन नंबर की खरीद को सक्षम बनाता है। प्रमाणीकरण की कमी सिस्टम को संभावित दुरुपयोग के संपर्क में लाती है, जिसमें स्पैम अभियान, धोखाधड़ी वाली गतिविधियाँ और सेवा से इनकार (DoS) हमले शामिल हैं, जिससे सिस्टम को अवांछित नोटिफिकेशन से भर दिया जाता है। सिस्टम के माध्यम से फोन नंबर प्राप्त करने की क्षमता जोखिम को और बढ़ा देती है, जिससे दुर्भावनापूर्ण अभिनेता नकली खाते बना सकते हैं या लक्षित फ़िशिंग हमलों को शुरू कर सकते हैं।

Organizations utilizing OneUptime for monitoring and observability, particularly those with publicly accessible instances or those that have not implemented robust access controls for their notification and phone number management systems, are at significant risk. Shared hosting environments using OneUptime are also particularly vulnerable.

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-02
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-10

CVE-2026-34758 के लिए अनुशंसित शमन OneUptime को यथासंभव जल्दी से संस्करण 10.0.42 या उच्चतर में अपडेट करना है। इस संस्करण में प्रभावित एंडपॉइंट्स के लिए प्रमाणीकरण आवश्यकताएं शामिल हैं, जो अनधिकृत पहुंच को प्रभावी ढंग से रोकती हैं। इसके अतिरिक्त, संदिग्ध गतिविधि की निगरानी और अवरुद्ध करने के लिए फ़ायरवॉल नियमों और घुसपैठ का पता लगाने वाले सिस्टम सहित OneUptime के सुरक्षा कॉन्फ़िगरेशन की समीक्षा करें। अपडेट से पहले संभावित उल्लंघनों की पहचान करने के लिए सिस्टम लॉग की जांच करें। सुरक्षित वातावरण बनाए रखने के लिए नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग की भी सिफारिश की जाती है।