CVE-2026-108708

WysokieCVSS 8.8

Opublikowano: 11/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Streszczenie

Wukong_HRM do commita 186115e zawiera podatność braku autoryzacji, ponieważ EmployeeAspect przypisuje każdemu wywołującemu rolę administratora HR, a kontrole zakresu danych w EmployeeUtil zwracają wszystkich pracowników. Każdy uwierzytelniony pracownik o niskich uprawnieniach może odczytywać odcinki wypłat, rekordy wynagrodzeń, karty bankowe i dane osobowe, edytować karty bankowe oraz usuwać pracowników, działy i umowy w całej firmie.

Ocena ryzyka

Każdy zalogowany pracownik o niskich uprawnieniach może uzyskać dostęp do wrażliwych danych finansowych i osobowych wszystkich pracowników oraz modyfikować lub usuwać kluczowe rekordy HR, co stanowi poważne naruszenie poufności i integralności danych.

Rekomendacja

Niezwłocznie zaktualizuj Wukong_HRM do wersji z poprawką lub wdróż poprawki autoryzacji w EmployeeAspect i EmployeeUtil, a do czasu aktualizacji ogranicz dostęp do funkcji HR wyłącznie do uprawnionych administratorów.

Inne podatności w Wukong_HRM

CVE-2026-108707Krytyczne
Wukong_HRM do commita 186115e zawiera podatność obejścia uwierzytelniania w ParamAspect, która pozwala nieuwierzytelnionym atakującym wywołać dowolny endpoint API HRM poprzez pominięcie nagłówka AUTH-TOKEN. Atakujący uzyskują dostęp na poziomie administratora HR do odczytu odcinków wypłat, historii wynagrodzeń i danych osobowych pracowników, pobierania załączników oraz modyfikacji lub usuwania firmowych rekordów HR.

Oryginalny opis (angielski, źródło NVD)

Wukong_HRM through commit 186115e contains a missing authorization vulnerability because EmployeeAspect assigns every caller the HR administrator role and EmployeeUtil data-scope checks return all employees. Any authenticated low-privileged employee can read payslips, salary records, bank cards and personal data, edit bank cards, and delete employees, departments and contracts company-wide.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS