CVE-2026-25555
OpenBullet2 0.3.2 Authentication Bypass via X-Api-Key Header
CVSS 3.1Medium
9.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Исправленная версия не указана. Проверьте бюллетень производителя.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход аутентификации в OpenBullet2 позволяет неаутентифицированному атакующему получить доступ к панели администратора и API.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В промежуточном ПО аутентификации переданное значение заголовка X-Api-Key сравнивается со строкой AdminApiKey, которая по умолчанию пуста. Отправка пустого заголовка X-Api-Key позволяет успешно пройти проверку подлинности без действительных учетных данных.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированный административный доступ к консоли управления и всем конечным точкам API.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- hackernoon.comhttps://hackernoon.com/one-empty-header-to-admin-how-an-auth-bypass-breaks-openbullet2
- www.vulncheck.comhttps://www.vulncheck.com/advisories/openbullet2-authentication-bypass-via-x-api-key-header
- github.comhttps://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/http/openbullet2_unauth_hash_disclosure_cve_2026_39908.rb
- github.comhttps://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/http/openbullet2_unauth_rce_cve_2026_25856.rb
- github.comhttps://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2026/CVE-2026-25555.yaml
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-25555: OpenBullet2 0.3.2 Authentication Bypass via X-Api-Key Header. URL: https://cve.futuretools.ru/cve/CVE-2026-25555
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_25555,
title = {{CVE-2026-25555: OpenBullet2 0.3.2 Authentication Bypass via X-Api-Key Header}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-25555}},
note = {Оперативный инженерный анализ киберугроз}
}