CVE-2026-10285
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcji KanbanScrumHelper::recordUpdated w pliku app/Helpers/KanbanScrumHelper.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może zdalnie wykonywać nieautoryzowane operacje na zgłoszeniach, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Należy natychmiast zaktualizować oprogramowanie do wersji z poprawką lub zastosować tymczasowe zabezpieczenia, np. ograniczyć dostęp do funkcji.
Inne podatności w DevaslanPHP project-management
Zobacz wszystkie- CVE-2026-100900Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja updateJiraProjects w pliku /jira-import komponentu Jira Import prowadzi do podrobienia żądania po stronie serwera (SSRF) poprzez manipulację argumentami host/username/token. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.
- CVE-2026-100899Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/v2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/MonthlyReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
- CVE-2026-100898Średnie
W DevaslanPHP project-management w wersjach 1.2.1/1.2.2/1.2.3/1.2.4/2.0.0-beta1 funkcja whereRaw w pliku app/Filament/Widgets/Timesheet/ActivitiesReport.php komponentu Timesheet Dashboard jest podatna na wstrzyknięcie SQL przez manipulację argumentem filter. Atak może być przeprowadzony zdalnie. Exploit jest publiczny.
- CVE-2026-10284Średnie
W DevaslanPHP project-management do wersji 2.0.0-beta1 wykryto podatność na nieprawidłową autoryzację w funkcjach editComment/doDeleteComment w pliku app/Filament/Resources/TicketResource/Pages/ViewTicket.php. Atak może być przeprowadzony zdalnie. Projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in DevaslanPHP project-management up to 2.0.0-beta1. Affected by this issue is the function KanbanScrumHelper::recordUpdated of the file app/Helpers/KanbanScrumHelper.php of the component Ticket Handler. The manipulation leads to improper authorization. The attack is possible to be carried out remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS