CVE-2025-14262

ŚrednieCVSS 4.3

Opublikowano: 08/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Błędna kontrola uprawnień w KNIME Business Hub przed wersją 1.17.0 pozwalała uwierzytelnionemu użytkownikowi zapisywać zadania innych użytkowników tak, jakby zostały zapisane przez właściciela zadania. Atakujący musiał mieć uprawnienia dostępu do zadań, ale zapis do usługi katalogowej następował z błędnymi uprawnieniami właściciela, co mogło umożliwić zapis do przestrzeni bez uprawnień zapisu.

Ocena ryzyka

Atakujący może zapisywać dane w przestrzeniach, do których nie ma uprawnień zapisu, podszywając się pod właściciela zadania, co prowadzi do naruszenia integralności i kontroli dostępu. Brak obejścia problemu zwiększa ryzyko eksploatacji.

Rekomendacja

Zaktualizuj KNIME Business Hub do wersji 1.17.0 lub nowszej. Nie ma dostępnego obejścia — aktualizacja jest jedynym rozwiązaniem.

Inne podatności w KNIME Business Hub

CVE-2023-3140Średnie
Brak nagłówków HTTP (X-Frame-Options, Content-Security-Policy) w KNIME Business Hub przed wersją 1.4.0 naraża użytkowników na ataki typu clickjacking. Atak ten polega na oszukaniu użytkownika, aby kliknął w element interaktywny, co prowadzi do nieautoryzowanego przekierowania na inną stronę.

Oryginalny opis (angielski, źródło NVD)

A wrong permission check in KNIME Business Hub before version 1.17.0 allowed an authenticated user to save jobs of other users as if there were saved by the job owner. The attacker must have permissions to access the jobs but then they were saved into the catalog service using the wrong owner permissions. Therefore it may have been possible to save into spaces where the attacker does not have write permissions. There is no workaround.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS