CVE-2026-55196
🟠 Łataj w tym tygodniu
Obejście uwierzytelnienia w Hermes WebUI pozwala zdalnym atakującym na rejestrację dowolnych kluczy.
CVSS
9.1
EPSS
0.6%
Exploit
none
Vendor
Opis źródłowy (NVD)
Hermes WebUI before 0.51.409 contains an authentication bypass vulnerability in passkey registration endpoints that allows unauthenticated remote attackers to register arbitrary passkeys. When HERMES_WEBUI_PASSKEY=1 is enabled with no existing credentials, POST /api/auth/passkey/register/options and POST /api/auth/passkey/register endpoints are accessible without authentication, allowing attackers to claim the first passkey and gain permanent administrative control.
auth-bypass
Brak patcha
Źródła i daty
| Źródło | Wartość |
|---|---|
| NVD – CVSS | 9.1 |
| CISA KEV (aktywnie wykorzystywane) | Nie |
| FIRST EPSS (prawdopodobieństwo exploita) | 0.6% |
| Opublikowano (NVD) | 2026-06-17 19:18:13 UTC |
| Ostatnia modyfikacja (NVD) | 2026-06-23 03:16:41 UTC |
Referencje
- https://github.com/nesquena/hermes-webui/commit/4d90577e25d5537cb07290eca3fb8abff3bab316 (disclosure@vulncheck.com)
- https://github.com/nesquena/hermes-webui/pull/4171 (disclosure@vulncheck.com)
- https://github.com/nesquena/hermes-webui/pull/4267 (disclosure@vulncheck.com)
- https://github.com/nesquena/hermes-webui/releases/tag/v0.51.442 (disclosure@vulncheck.com)
- https://www.vulncheck.com/advisories/hermes-webui-unauthenticated-passkey-registration-via-authentication-bypass (disclosure@vulncheck.com)