CVE-2026-33533
Glances Vulnerable to Cross-Origin System Information Disclosure via XML-RPC Server CORS Wildcard
Что произошло
Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.3, the Glances XML-RPC server (activated with glances -s or glances --server) sends Access-Control-Allow-Origin: * on every HTTP response. Because the XML-RPC handler does not validate the Content-Type header, an attacker-controlled webpage can issue a CORS "simple request" (POST with Content-Type: text/plain) containing a valid XML-RPC payload. The browser sends the request without a preflight check, the server processes the XML body and returns the full system monitoring dataset, and the wildcard CORS header lets the attacker's JavaScript read the response. The result is complete exfiltration of hostname, OS version, IP addresses, CPU/memory/disk/network stats, and the full process list including command lines (which often contain tokens, passwords, or internal paths). This issue has been patched in version 4.5.3.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
nicolargo / glances
{
"status": "affected",
"version": "< 4.5.3"
}nicolargo / glances
{
"status": "affected",
"version": "*",
"versionEndExcluding": "4.5.3"
}cpe:2.3:a:nicolargo:glances:*:*:*:*:*:*:*:*
glances PyPI
{
"status": "affected",
"version": "*",
"versionEndExcluding": "4.5.3"
}CVSS: оценки и векторы
CVSS 4.0 · cve7.1
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
CVSS 4.0 · security-advisories@github.com7.1
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS 3.1 · nvd@nist.gov6.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:16:32.958390+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T19:50:33.354974+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T19:50:33.354974+00:00"
},
"affected": [
"cve",
"nvd",
"osv"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T19:50:33.354974+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:16:32.958390+00:00"
},
"references": [
"cve",
"nvd",
"osv"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T19:50:33.354974+00:00"
},
"workarounds": [],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены05.11.2026, 00:16
- Данные обновлены04.11.2026, 00:13
- Данные обновлены03.11.2026, 00:12
- Данные обновлены02.11.2026, 13:39
- Данные обновлены02.11.2026, 00:10
- Данные обновлены31.10.2026, 11:58
- Данные обновлены28.10.2026, 22:50
- Данные обновлены28.10.2026, 18:06
- Появилась ссылка на PoC28.10.2026, 15:11
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-32633 Glances's Browser API Exposes Reusable Downstream Credentials via `/api/4/serverslist` nicolargo / glances · Glances | Критический | 9.1 | 0,5 % | PoCПатч | 18.03.2026 | |
| CVE-2026-35588 Glances has CQL Injection in its Cassandra Export Module via Unsanitized Config Values nicolargo / glances · glances | Высокий | 6.3 | 0,21 % | PoCПатч | 21.04.2026 | |
| CVE-2026-35587 Glances IP Plugin has SSRF via public_api that leads to credential leakage nicolargo / glances · glances | Критический | 7.3 | 0,4 % | PoCПатч | 21.04.2026 | |
| CVE-2026-33641 Glances Vulnerable to Command Injection via Dynamic Configuration Values nicolargo / glances · glances | Критический | 7.8 | 0,9 % | PoCПатч | 02.04.2026 | |
| CVE-2026-34839 Glances Vulnerable to Cross-Origin Information Disclosure via Unauthenticated REST API (/api/4) due to Permissive CORS nicolargo / glances · glances | Критический | 7.7 | 0,41 % | PoCПатч | 21.04.2026 |