CVE-2026-105040

WysokieCVSS 8.8

Opublikowano: 15/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Usługa uwierzytelniania EnergizeLab Eilik NestJS przyjmuje identyfikator użytkownika kontrolowany przez użytkownika w żądaniach aktualizacji konta (mass assignment). Zarejestrowany użytkownik może ustawić identyfikator innego konta i przejąć to konto.

Ocena ryzyka

Każdy zarejestrowany użytkownik może przejąć dowolne inne konto, co prowadzi do nieautoryzowanego dostępu do danych i funkcji ofiary.

Rekomendacja

Zaktualizuj usługę uwierzytelniania do wersji bez podatności oraz wymuś weryfikację uprawnień do modyfikowanego identyfikatora konta po stronie serwera.

Inne podatności w EnergizeLab Eilik NestJS auth service

CVE-2026-105034Wysokie
Usługa uwierzytelniania EnergizeLab Eilik NestJS wydaje tokeny urządzeń dla dowolnych numerów seryjnych robotów bez uwierzytelnienia. Nieuwierzytelniony zdalny atakujący może uzyskać ważny token urządzenia dla dowolnego numeru seryjnego i działać jako to urządzenie wobec usług w chmurze.

Oryginalny opis (angielski, źródło NVD)

The EnergizeLab Eilik NestJS auth service accepts a user-controlled user ID in account update requests (mass assignment). A registered user can set another account's identifier and take over that account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS