Wazuh 4.14.3 before 4.14.8 contains a case-sensitivity mismatch between the ossec.conf validator and wazuh-logcollector that bypasses remote-command validation. Authenticated users with manager:update_config can inject an uppercase LOG_FORMAT command localfile that the collector runs as root on reload.
| CVE | CVE-2026-74041 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| CWE | CWE-178 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Wazuh 4.14.3 – 4.14.8
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).