CVE-2025-62644
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada Global Store Directory, który udostępnia dane osobowe pomiędzy uwierzytelnionymi użytkownikami. Luka polega na niewłaściwym udostępnianiu informacji osobistych wśród zalogowanych użytkowników.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą uzyskać dostęp do danych osobowych innych użytkowników, co stanowi naruszenie poufności i może prowadzić do naruszenia przepisów o ochronie danych. Może to skutkować konsekwencjami prawnymi i utratą zaufania.
Rekomendacja
Ogranicz dostęp do Global Store Directory zgodnie z zasadą minimalnych uprawnień i zweryfikuj, które dane osobowe są udostępniane uwierzytelnionym użytkownikom. Skontaktuj się z dostawcą platformy w celu uzyskania informacji o poprawce.
Inne podatności w RBI assistant platform
Zobacz wszystkie- CVE-2025-62645Krytyczne
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnemu uwierzytelnionemu atakującemu uzyskać token z uprawnieniami administracyjnymi dla całej platformy poprzez mutację GraphQL createToken.
- CVE-2025-62651Średnie
Platforma asystenta Restaurant Brands International (RBI) do dnia 2025-09-06 nie implementuje kontroli dostępu dla interfejsu oceny łazienek. Oznacza to, że każdy użytkownik może uzyskać dostęp do tego interfejsu bez autoryzacji.
- CVE-2025-62650Wysokie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta w celu korzystania z ekranu diagnostycznego.
- CVE-2025-62649Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 opiera się na uwierzytelnianiu po stronie klienta przy składaniu zamówień na sprzęt. Oznacza to, że kontrola dostępu może być łatwo ominięta.
- CVE-2025-62648Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 umożliwia zdalnym atakującym regulację głośności audio głośników Drive Thru.
- CVE-2025-62647Średnie
Platforma asystencka Restaurant Brands International (RBI) do 2025-09-06 umożliwia zwrócenie JWT, który może być użyty do wywołania API w celu uzyskania podpisanego URL-a do przesyłania plików do AWS dla ścieżki dowolnego sklepu.
- CVE-2025-62646Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 pozwala zdalnym atakującym na przeglądanie zapisanych nagrań audio rozmów między pracownikami a klientami Drive Thru. Może to prowadzić do naruszenia prywatności.
- CVE-2025-62642Średnie
Platforma asystenta Restaurant Brands International (RBI) do 2025-09-06 posiada API rejestracji 'Anyone Can Join This Party', które nie weryfikuje tworzenia kont użytkowników, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na utworzenie konta użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Restaurant Brands International (RBI) assistant platform through 2025-09-06 has a Global Store Directory that shares personal information among authenticated users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS