CVE-2026-10284
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcjach editComment/doDeleteComment w pliku app/Filament/Resources/TicketResource/Pages/ViewTicket.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie edytować lub usuwać komentarze bez odpowiednich uprawnień, co może prowadzić do manipulacji danymi.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie do wersji z poprawką lub zastosować tymczasowe zabezpieczenia, np. ograniczyć dostęp do funkcji komentarzy.
Inne podatności w DevaslanPHP project-management
Zobacz wszystkie- CVE-2026-100900Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja updateJiraProjects w pliku /jira-import komponentu Jira Import prowadzi do podrobienia żądania po stronie serwera (SSRF) poprzez manipulację argumentami host/username/token. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.
- CVE-2026-100899Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/MonthlyReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
- CVE-2026-100898Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/ActivitiesReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit jest publiczny.
- CVE-2026-10285Średnie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcji KanbanScrumHelper::recordUpdated w pliku app/Helpers/KanbanScrumHelper.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in DevaslanPHP project-management up to 2.0.0-beta1. Affected by this vulnerability is the function editComment/doDeleteComment of the file app/Filament/Resources/TicketResource/Pages/ViewTicket.php of the component Livewire Handler. Executing a manipulation can lead to improper authorization. The attack can be executed remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS