CVE-2025-41716
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.
Ocena ryzyka
Atakujący może uzyskać listę użytkowników i ich ról, co może ułatwić dalsze ataki, takie jak phishing lub eskalacja uprawnień.
Rekomendacja
Wprowadź uwierzytelnianie dla krytycznych funkcji i ogranicz dostęp do informacji o kontach.
Inne podatności w Web application
Zobacz wszystkie- CVE-2026-71302Wysokie
Aplikacja akceptuje identyfikatory sesji dostarczone przez użytkownika i nie regeneruje identyfikatora sesji po uwierzytelnieniu. Pozwala to atakującemu na wstępne zdefiniowanie identyfikatora sesji i ponowne użycie go po uwierzytelnieniu ofiary, co prowadzi do przejęcia sesji.
- CVE-2026-71189Niskie
Atakujący może skonstruować żądanie, które po wysłaniu przez innego użytkownika aplikacji spowoduje wykonanie kodu JavaScript dostarczonego przez atakującego w przeglądarce użytkownika w kontekście jego sesji. Jest to klasyczna podatność typu cross-site scripting (XSS).
- CVE-2026-69662Niskie
Aplikacja używa niebezpiecznych funkcji, które umożliwiają wykonywanie skryptów inline oraz funkcji ewaluacji ciągów znaków. Może to prowadzić do wykonania niezaufanego kodu JavaScript.
- CVE-2026-48999Średnie
Atakujący wstrzykują złośliwe skrypty (np. JavaScript) do systemu docelowego. Gdy inni użytkownicy odwiedzają zainfekowane strony, skrypty wykonują się w ich przeglądarkach, umożliwiając kradzież ciasteczek, przejęcie sesji i modyfikację treści.
Oryginalny opis (angielski, źródło NVD)
The web application allows an unauthenticated remote attacker to learn information about existing user accounts with their corresponding role due to missing authentication for critical function.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS