CVE-2026-107102
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w systemie ERP wynika z nieprawidłowej walidacji parametrów wywołania zwrotnego płatności i niewystarczających kontroli uwierzytelniania w punkcie końcowym API. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, manipulując parametrem, aby spowodować ustanowienie uwierzytelnionej sesji dla dowolnego użytkownika bez ważnej weryfikacji płatności.
Ocena ryzyka
Skuteczne wykorzystanie podatności może pozwolić atakującemu na ominięcie uwierzytelniania i uzyskanie nieautoryzowanego dostępu do kont innych użytkowników w systemie.
Rekomendacja
Zaktualizuj system ERP do wersji z poprawką lub wzmocnij walidację parametrów i kontrolę uwierzytelniania w API. Ogranicz dostęp do punktu końcowego i monitoruj sesje.
Inne podatności w ERP system
Zobacz wszystkie- CVE-2026-107104Krytyczne
Podatność w systemie ERP wynika z niebezpiecznej deserializacji danych kontrolowanych przez użytkownika w określonej funkcjonalności. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowane dane do podatnej funkcjonalności systemu.
- CVE-2026-107103Krytyczne
Podatność w systemie ERP wynika z niewystarczającej walidacji i parametryzacji danych wejściowych użytkownika w punkcie końcowym API. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowane dane do podatnego punktu końcowego.
- CVE-2026-84149Krytyczne
Podatność w systemie ERP spowodowana ujawnieniem informacji o repozytorium poprzez publicznie dostępny katalog .git. Nieuwierzytelniony atakujący może uzyskać metadane repozytorium i powiązane pliki, co może umożliwić rekonstrukcję kodu źródłowego aplikacji.
- CVE-2026-84148Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i autoryzacji w punkcie końcowym API. Nieuwierzytelniony atakujący może manipulować parametrami, co prowadzi do ujawnienia wrażliwych informacji innych użytkowników.
- CVE-2026-84147Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i nieodpowiednią walidacją typów plików w punkcie końcowym API. Nieuwierzytelniony atakujący może przesyłać dowolne pliki do katalogu dostępnego z sieci, co może umożliwić wykonanie dowolnego kodu i naruszenie systemu.
Oryginalny opis (angielski, źródło NVD)
This vulnerability exists in the ERP system due to improper validation of payment callback parameters and inadequate authentication controls in API endpoint. An unauthenticated remote attacker could exploit this vulnerability by manipulating the parameter to cause the application to establish an authenticated session for an arbitrary user without valid payment verification. Successful exploitation of this vulnerability could allow the attacker to bypass authentication and gain unauthorized access to other user accounts on the targeted system.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS