Beszel API Access Control Vulnerability (CVE-2026-40077)

CVE-2026-40077 Beszel को प्रभावित करता है, जो एक सर्वर मॉनिटरिंग प्लेटफॉर्म है। 0.18.7 से पहले के संस्करणों में, Beszel हब में कुछ API एंडपॉइंट्स उपयोगकर्ता द्वारा प्रदान किए गए सिस्टम ID को स्वीकार करते हैं, बिना यह जांचे कि उपयोगकर्ता के पास उस सिस्टम तक पहुंचने का अधिकार है या नहीं। यह किसी भी प्रमाणित उपयोगकर्ता को सिस्टम ID जानने पर किसी भी सिस्टम के लिए इन मार्गों तक पहुंचने की अनुमति देता है। सिस्टम ID 15-वर्णों की यादृच्छिक अल्फ़ान्यूमेरिक स्ट्रिंग हैं और सभी उपयोगकर्ताओं को प्रदर्शित नहीं की जाती हैं, लेकिन प्रमाणित उपयोगकर्ता एक वैध सिस्टम ID को सूचीबद्ध करने की सैद्धांतिक संभावना है। मुख्य प्रभाव अनधिकृत उपयोगकर्ताओं को सिस्टम के मॉनिटरिंग डेटा तक पहुंचने की संभावना है, जिससे सर्वर जानकारी की गोपनीयता और अखंडता से समझौता हो सकता है।

Organizations utilizing Beszel for server monitoring, particularly those with multiple systems and a large number of authenticated users, are at risk. Environments with weak access controls or where system IDs are not adequately protected are especially vulnerable.

• nodejs / server:

grep -r 'req.body.system_id' /opt/beszel/app/routes/*.js

• nodejs / server:

journalctl -u beszel -f | grep "Accessing system with ID"

• generic web: Review Beszel API access logs for unusual requests targeting specific system IDs.

1. 2026-04-09Disclosure

   disclosure

1. आरक्षित2026-04-09
2. प्रकाशित2026-04-09
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-17

CVE-2026-40077 के लिए समाधान Beszel को संस्करण 0.18.7 या बाद के संस्करण में अपग्रेड करना है। यह संस्करण API एंडपॉइंट्स के लिए उचित एक्सेस नियंत्रण लागू करता है, यह सत्यापित करता है कि प्रमाणित उपयोगकर्ता के पास विशिष्ट सिस्टम के डेटा तक पहुंचने के लिए आवश्यक अनुमतियां हैं। इस बीच, निवारक उपाय के रूप में, Beszel के भीतर उपयोगकर्ता अनुमतियों की समीक्षा और सीमित करने की सिफारिश की जाती है, यह सुनिश्चित करते हुए कि उनके पास केवल उन सिस्टम तक पहुंच है जिन्हें उन्हें मॉनिटर करने की आवश्यकता है। API एक्सेस लॉग का ऑडिट करना भी उचित है ताकि किसी भी संदिग्ध गतिविधि का पता चल सके।