CVE-2026-100879
ŚrednieCVSS 4.3Streszczenie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji checkRoleAllowed w pliku SysRoleServiceImpl.java komponentu dataScope Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.
Ocena ryzyka
Brak autoryzacji pozwala atakującemu na dostęp do funkcji lub danych, do których nie powinien mieć uprawnień, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Skontaktuj się z dostawcą w celu uzyskania poprawki, ponieważ nie odpowiedział na zgłoszenie. Do czasu dostępności łatki ogranicz dostęp sieciowy do komponentu dataScope Endpoint i monitoruj nietypowe żądania.
Inne podatności w StarTraining
Zobacz wszystkie- CVE-2026-100881Niskie
Wykryto podatność w zhistaredu StarTraining do wersji 3.8.1. Dotyczy nieznanego przetwarzania w pliku application.yml. Manipulacja argumentem xss.enabled prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest wysoce złożony i trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty. Nie jest samodzielnie wykorzystywalny: brak obrony w głąb, który wzmacnia CVE-2026-100880. Producent został skontaktowany, ale nie odpowiedział.
- CVE-2026-100878Średnie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji SysUser.isAdmin w pliku edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java komponentu authRole Endpoint. Manipulacja argumentami userId/roleIds prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.
- CVE-2026-97879Średnie
W zhistaredu StarTraining do wersji 3.8.1 włącznie odkryto lukę w nieznanej funkcji pliku SecurityConfig.java komponentu api-docs Endpoint, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in zhistaredu StarTraining up to 3.8.1. This affects the function checkRoleAllowed of the file SysRoleServiceImpl.java of the component dataScope Endpoint. The manipulation results in missing authorization. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS