CVE-2026-101144
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Eleveo Call Recording Software 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej części pliku /callrec/searchAction.do komponentu Query Builder. Manipulacja powoduje nieprawidłowe kontrole dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wykorzystać nieprawidłowe kontrole dostępu do nieautoryzowanego dostępu do danych lub funkcji systemu, co może prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do systemu, przegląd uprawnień i kontakt z producentem w celu uzyskania poprawki.
Inne podatności w Eleveo Call Recording Software
Zobacz wszystkie- CVE-2026-101145Średnie
W Eleveo Call Recording Software 9.7.0 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku /callrec/userAddAction.do komponentu User Management. Manipulacja argumentem Username prowadzi do wstrzyknięcia LDAP. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101141Niskie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w nieznanej funkcji pliku /callrec/audio.jsp w komponencie Play Audio Page. Manipulacja argumentami viewRoleId/cfType prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-85405Niskie
Podatność w Eleveo Call Recording Software 9.7.0 dotyczy nieznanej części pliku /callrec/roleAddAction.do. Manipulacja argumentem name/username prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15474Średnie
W Eleveo Call Recording Software 9.7.0 wykryto lukę w mechanizmie autoryzacji. Nieznana funkcja w pliku /callrec/audio.jsp nieprawidłowo weryfikuje uprawnienia dla parametru callId, co umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15472Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/composeEmailAction.do. Nieznany kod umożliwia zdalną manipulację prowadzącą do nieprawidłowej autoryzacji. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15471Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/pci_dss_status.jsp, która umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-15470Średnie
W oprogramowaniu Eleveo Call Recording Software 9.7.0 odkryto podatność w pliku /callrec/group.jsp. Nieznana funkcjonalność tego pliku umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-15377Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/sendlogfile. Nieznana funkcjonalność tego pliku powoduje nieprawidłową autoryzację, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15376Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/statisticReportAction.do. Nieznana funkcja umożliwia nieprawidłową autoryzację, co pozwala na zdalne wykorzystanie luki. Exploit został opublikowany, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-15375Średnie
W oprogramowaniu Eleveo Call Recording 9.7.0 wykryto podatność w pliku /callrec/users_ldap.jsp komponentu interfejsu LDAP. Nieznana funkcja umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Eleveo Call Recording Software 9.7.0. This affects an unknown part of the file /callrec/searchAction.do of the component Query Builder. This manipulation causes improper access controls. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS