CVE-2026-82448
Vulnérabilité critique dans Shinobi (Shinobi Systems)
CVSS 9.8 · Critique
EPSS 0.7%
Shinobi Systems•Shinobi•Versions : <5a76c74f3977661ff3f9fd55a260db352c0b19c0, 0
Description
Shinobi before commit 5a76c74f contains a hardcoded connection key in the child node service that allows unauthenticated attackers to execute arbitrary database queries. Attackers reaching the child node port can present the hardcoded key during WebSocket handshake, then dispatch SQL queries through the onWebSocketDataFromChildNode handler to read and modify user records and camera configuration.
Gravité et risque d'exploitation
CVE-2026-82448 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.70 %, ce qui la place devant 52.2 % des CVE référencées.
Que faire ?
- Vérifiez si Shinobi (versions <5a76c74f3977661ff3f9fd55a260db352c0b19c0, 0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://gitlab.com/Shinobi-Systems/Shinobi/-/merge_requests/554
- https://gitlab.com/Shinobi-Systems/Shinobi/-/commit/5a76c74f3977661ff3f9fd55a260db352c0b19c0
- https://gitlab.com/Shinobi-Systems/Shinobi
- https://gitlab.com/Shinobi-Systems/Shinobi/-/blob/f04e685b8bd4c6190fcd62993131b86a76c2b806/libs/childNode/utils.js
- https://www.vulncheck.com/advisories/shinobi-before-commit-5a76c74f-arbitrary-database-query-execution-via-hardcoded-child-node-key