CVE-2026-107187

WysokieCVSS 8.5

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Użytkownik może uzyskać dostęp do szczegółów dowolnej bazy danych, w tym nazw użytkowników i haseł, wysyłając żądanie DWR z określoną regułą workflow. Luka w obejściu uwierzytelniania może być łączona z tą podatnością w celu odczytu bazy danych bez uwierzytelnienia; możliwe są również operacje zapisu i usuwania, choć nie zostało to przetestowane.

Ocena ryzyka

Atakujący może uzyskać dostęp do danych uwierzytelniających baz danych i potencjalnie modyfikować lub usuwać dane, co może prowadzić do pełnego przejęcia systemu i wycieku danych.

Rekomendacja

Zastosuj poprawkę producenta, ogranicz dostęp do endpointów DWR oraz zweryfikuj i rotuj poświadczenia baz danych, które mogły zostać ujawnione.

Inne podatności w DWR

CVE-2026-107186Wysokie
Nieuwierzytelniony użytkownik może wysłać żądanie DWR z isPasswordUppercase jako metodą wywołania, a następną metodą może być uruchomienie reguły workflow. Pozwala to na uruchamianie reguł workflow bez uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

A user can access any database details, such as usernames and passwords by sending a DWR request with a specified workflow rule. The authentication bypass vulnerability can be chained with this vulnerability to perform database reads without authentication. Database write and delete operations may also be possible, but this was untested.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS