CVE-2026-108707

KrytyczneCVSS 9.8

Opublikowano: 11/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Streszczenie

Wukong_HRM do commita 186115e zawiera podatność obejścia uwierzytelniania w ParamAspect, która pozwala nieuwierzytelnionym atakującym wywołać dowolny endpoint API HRM poprzez pominięcie nagłówka AUTH-TOKEN. Atakujący uzyskują dostęp na poziomie administratora HR do odczytu odcinków wypłat, historii wynagrodzeń i danych osobowych pracowników, pobierania załączników oraz modyfikacji lub usuwania firmowych rekordów HR.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać pełny dostęp administracyjny do systemu HR, co prowadzi do wycieku danych osobowych i wynagrodzeń oraz możliwości modyfikacji lub usunięcia rekordów kadrowych w całej firmie.

Rekomendacja

Niezwłocznie zaktualizuj Wukong_HRM do wersji zawierającej poprawkę lub wdróż obejście wymuszające weryfikację nagłówka AUTH-TOKEN, a do czasu aktualizacji ogranicz dostęp do API HRM wyłącznie do zaufanych sieci.

Inne podatności w Wukong_HRM

CVE-2026-108708Wysokie
Wukong_HRM do commita 186115e zawiera podatność braku autoryzacji, ponieważ EmployeeAspect przypisuje każdemu wywołującemu rolę administratora HR, a kontrole zakresu danych w EmployeeUtil zwracają wszystkich pracowników. Każdy uwierzytelniony pracownik o niskich uprawnieniach może odczytywać odcinki wypłat, rekordy wynagrodzeń, karty bankowe i dane osobowe, edytować karty bankowe oraz usuwać pracowników, działy i umowy w całej firmie.

Oryginalny opis (angielski, źródło NVD)

Wukong_HRM through commit 186115e contains an authentication bypass vulnerability in ParamAspect that allows unauthenticated attackers to call every HRM API endpoint by omitting the AUTH-TOKEN header. Attackers gain HR administrator access to read payslips, salary history and employee personal data, download attachments, and modify or delete company-wide HR records.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS