CVE-2026-100192
ŚrednieCVSS 6.5Streszczenie
X-SpringBoot w wersji do 6.0 ujawnia poświadczenia appKey i appSecret w punkcie końcowym GET /application/manager/select bez uwierzytelniania i filtrowania pól. Nieuwierzytelnieni atakujący mogą pobrać te poświadczenia i użyć ich do wysyłania dowolnych wiadomości SMS przez dostawcę SMS dowolnego najemcy, umożliwiając ataki SMS bombing i podszywanie się.
Ocena ryzyka
Ujawnienie poświadczeń SMS może prowadzić do nadużyć, takich jak masowe wysyłanie wiadomości (SMS bombing) i podszywanie się pod organizację, co może skutkować stratami finansowymi i reputacyjnymi. Może również naruszyć zaufanie klientów i zgodność z przepisami.
Rekomendacja
Zaktualizuj X-SpringBoot do wersji nowszej niż 6.0, jeśli jest dostępna, lub natychmiast zabezpiecz punkt końcowy poprzez wymuszenie uwierzytelniania i filtrowanie wrażliwych pól. Rozważ rotację ujawnionych poświadczeń i monitorowanie nieautoryzowanego użycia SMS.
Inne podatności w X-SpringBoot
Zobacz wszystkie- CVE-2026-97060Wysokie
X-SpringBoot do wersji 6.0 nie posiada autoryzacji na poziomie obiektu w endpointach zarządzania użytkownikami. Sub-administratorzy mogą modyfikować lub usuwać użytkowników bez weryfikacji właściciela. Atakujący z uprawnieniami do zarządzania użytkownikami może resetować hasła dowolnego konta, w tym superadministratora, zmieniać role lub usuwać użytkowników przez endpointy POST /sys/user/update i POST /sys/user/delete.
- CVE-2026-97064Krytyczne
X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.
- CVE-2026-97063Krytyczne
X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.
Oryginalny opis (angielski, źródło NVD)
X-SpringBoot through 6.0 exposes appKey and appSecret credentials in the GET /application/manager/select endpoint without authentication or field filtering. Unauthenticated attackers can retrieve these credentials and use them to send arbitrary SMS messages through any tenant's SMS provider, enabling SMS bombing and impersonation attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS