CVE-2026-87689
CVSS 9.8 CRITICAL: the Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet.
Vulnerabilità ed exploit
Metasploit Framework Web Service espone fino alla 6.5.4 un buco che non riguarda un singolo segreto, ma l’intero credential store dell’istanza. Chi raggiunge msf-ws può leggere, modificare o cancellare credenziali salvate, comprese password, hash e private key usate in una stessa engagement.
La falla è in due route della REST API che saltano il controllo di autenticazione che vale per il resto del servizio. In pratica il server tratta un client esterno come un operatore già autenticato, e le credenziali condivise diventano un bersaglio diretto invece di restare protette dal perimetro del web service.
Rapid7 ha corretto il problema in Metasploit Framework 6.5.5 e lo ha classificato come CVE-2026-87689. Per chi usa msf-ws in ambienti condivisi, soprattutto con il listener predefinito esposto in rete, la storia è chiara: la superficie d’attacco non è il modulo di exploit, ma il repository centrale delle credenziali del team.
1 fonte · 10 ore fa
CVSS 9.8 CRITICAL: the Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet.
CVE Program records
Metasploit Framework Web Service REST API Missing Authentication on Credential Endpoints
originalePart of the PlainSec briefing for 2026-10-13
Every edition of this story: Metasploit espone l’intero credential store via API