CVE-2026-87689
CVSS 9.8 CRITICAL: the Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet.
Vulnerabilità · 9 ore fa
Metasploit Framework Web Service espone fino alla 6.5.4 un buco che non riguarda un singolo segreto, ma l’intero credential store dell’istanza. Chi raggiunge msf-ws può leggere, modificare o cancellare credenziali salvate, comprese password, hash e private key usate in una stessa engagement.
La falla è in due route della REST API che saltano il controllo di autenticazione che vale per il resto del servizio. In pratica il server tratta un client esterno come un operatore già autenticato, e le credenziali condivise diventano un bersaglio diretto invece di restare protette dal perimetro del web service.
Rapid7 ha corretto il problema in Metasploit Framework 6.5.5 e lo ha classificato come CVE-2026-87689. Per chi usa msf-ws in ambienti condivisi, soprattutto con il listener predefinito esposto in rete, la storia è chiara: la superficie d’attacco non è il modulo di exploit, ma il repository centrale delle credenziali del team.
CVSS 9.8 CRITICAL: the Metasploit Framework Web Service REST API (msf-ws) exposes the credential store through Msf::WebServices::CredentialServlet.
1 fonte che coprono questa storia
Part of the PlainSec briefing for 2026-10-13