CVE-2025-0326
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
System nie unieważnia istniejących tokenów dostępu powiązanych z użytkownikami podorganizacji podczas wrażliwych operacji zarządzania kontem, takich jak reset hasła, zmiana roli lub wyłączenie podorganizacji. W rezultacie wcześniej wydane tokeny pozostają aktywne mimo zmiany lub odebrania kontekstu dostępu użytkownika.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu przez złośliwego aktora, ale wyłącznie gdy wcześniej wydane tokeny pozostają aktywne i zostały ujawnione osobom trzecim.
Rekomendacja
Zastosuj poprawkę producenta zapewniającą unieważnianie tokenów przy operacjach zarządzania kontem oraz w razie potrzeby unieważnij istniejące tokeny.
Inne podatności w System
Zobacz wszystkie- CVE-2026-22909Wysokie
Niektóre funkcje systemowe mogą być wywoływane bez odpowiedniej autoryzacji, co pozwala atakującym na uruchamianie, zatrzymywanie lub usuwanie zainstalowanych aplikacji, potencjalnie zakłócając działanie systemu.
- CVE-2026-56888Średnie
W wielu miejscach występuje możliwość obejścia uprawnień wynikająca z ujawnienia informacji kanałem bocznym. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień ani interakcji użytkownika.
- CVE-2026-55332Średnie
W wielu miejscach występuje możliwość zapisu poza granicami bufora z powodu nieprawidłowej walidacji danych wejściowych. Może to prowadzić do lokalnej eskalacji uprawnień wymagającej uprawnień wykonawczych na poziomie System.
- CVE-2026-9651Średnie
Podatność CWE-732 (nieprawidłowe przypisanie uprawnień do krytycznego zasobu) umożliwia nieautoryzowane ujawnienie skrótów haseł. Atakujący z lokalnym dostępem uprzywilejowanym może odczytać nieprawidłowo chronione pliki systemowe, co prowadzi do potencjalnego przejęcia kont.
- CVE-2026-49190Wysokie
System nie ocenia poprawnie uprawnień instrukcji dla wielu wewnętrznych kodów operacji (opcodes), co umożliwia nieautoryzowane instalacje aplikacji lub wykonanie poleceń.
- CVE-2025-59460Wysokie
System jest wdrożony w stanie domyślnym, z ustawieniami konfiguracji niezgodnymi z najnowszymi najlepszymi praktykami dotyczącymi ograniczania dostępu. Zwiększa to ryzyko nieautoryzowanych połączeń.
- CVE-2023-35691Wysokie
Istnieje możliwość odczytu poza zakresem z powodu braku sprawdzenia granic. Może to prowadzić do zdalnego odmowy usługi, wymagając uprawnień do wykonania systemowego.
Oryginalny opis (angielski, źródło NVD)
The system fails to invalidate existing access tokens associated with sub-organization users during sensitive account management operations such as password reset, role change, or sub-organization disablement. This oversight allows previously issued tokens to remain active even after the user's access context has been modified or revoked through administrative actions. The identified issue could lead to unauthorized access by a malicious actor, but only when all of the following conditions are met: previously issued access tokens remain active, and these tokens have been exposed to malicious actors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS