CVE-2026-108796
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wada w ZKTeco BioTime 9.5.6 Build 20260130.3206 dotyczy nieznanej części pliku /iclock/finger_data/ komponentu Biometric Data Endpoint. Manipulacja argumentem emp_code prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Zdalny atakujący może ominąć autoryzację i uzyskać dostęp do danych biometrycznych, co stanowi poważne zagrożenie dla prywatności.
Rekomendacja
Zaktualizuj ZKTeco BioTime do najnowszej wersji lub zastosuj poprawki zabezpieczające, aby uniemożliwić obejście autoryzacji.
Inne podatności w ZKTeco BioTime
Zobacz wszystkie- CVE-2023-38951Krytyczne
Podatność w ZKTeco BioTime 8.5.5 do 9.0.1 przed łatką z 2024-06-17 pozwala uwierzytelnionym atakującym na tworzenie lub nadpisywanie dowolnych plików na serwerze. Wykorzystuje ona błąd path traversal w polu Username oraz brak sanityzacji danych wejściowych w polu SSH Key w endpointach /base/sftpsetting/.
- CVE-2023-38950WysokieAktywnie exploitowane
Podatność typu path traversal w interfejsie API iclock systemu ZKTeco BioTime v8.5.5 umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez spreparowane żądanie. Luka została naprawiona w wersji 9.0.120240617.19506.
- CVE-2026-108798Wysokie
Podatność znaleziona w ZKTeco BioTime 9.5.6 Build 20260130.3206. Nieznane przetwarzanie prowadzi do użycia twardo zakodowanego klucza kryptograficznego. Atak może być przeprowadzony zdalnie. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-108797Średnie
Podatność w ZKTeco BioTime 9.5.6 Build 20260130.3206 dotyczy nieznanego kodu w pliku /personnel/api/employees/ komponentu Employee REST API. Manipulacja prowadzi do obejścia autoryzacji. Atak może być zainicjowany zdalnie.
- CVE-2026-108795Średnie
Podatność w ZKTeco BioTime 9.5.6 Build 20260130.3206 dotyczy nieznanej funkcjonalności pliku /base/api/systemSettings komponentu System Settings API. Manipulacja prowadzi do niewłaściwej kontroli dostępu. Atak może być zainicjowany zdalnie.
- CVE-2026-108794Średnie
Podatność w ZKTeco BioTime 9.5.6 Build 20260130.3206 dotyczy nieznanej funkcjonalności pliku /base/api/v1.0/systemSettings/db_migrate_setting/ komponentu Database Migration Functionality. Manipulacja prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2025-15128Średnie
Wykryto podatność w ZKTeco BioTime do wersji 9.0.3/9.0.4/9.5.2, która dotyczy nieznanej części pliku /base/safe_setting/ komponentu Endpoint. Manipulacja argumentem backup_encryption_password_decrypt/export_encryption_password_decrypt prowadzi do niechronionego przechowywania poświadczeń.
- CVE-2023-51142Wysokie
W ZKTeco BioTime w wersji 8.5.4 i wcześniejszych wykryto podatność, która umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji. Problem wynika z nieprawidłowej kontroli dostępu do danych.
- CVE-2023-38952Wysokie
Podatność w ZKTeco BioTime do wersji 9.0.1 wynika z braku walidacji identyfikatorów sesji względem typu użytkownika. Uwierzytelniony atakujący może eskalować swoje uprawnienia, uzyskując dostęp do funkcji administracyjnych bez ograniczeń.
- CVE-2023-38949Wysokie
W systemie ZKTeco BioTime w wersji 8.5.5 wykryto podatność w ukrytym interfejsie API. Nieuwierzytelniony atakujący może za pomocą spreparowanego żądania HTTP zresetować hasło administratora.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in ZKTeco BioTime 9.5.6 Build 20260130.3206. This affects an unknown part of the file /iclock/finger_data/ of the component Biometric Data Endpoint. Executing a manipulation of the argument emp_code can lead to authorization bypass. The attack can be launched remotely. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS