CVE-2026-108808
NiskieCVSS 2.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w Eleveo Call Recording Software do wersji 10.3.0 dotyczy nieznanego kodu w pliku /auth/realms/default/protocol/openid-connect/logout komponentu JWT Token Handler. Manipulacja argumentem id_token_hint może prowadzić do użycia metody GET z wrażliwymi parametrami w zapytaniu. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
Ocena ryzyka
Ryzyko polega na możliwym wycieku wrażliwych danych w zapytaniach HTTP, co może narazić organizację na przechwycenie informacji przez osoby trzecie. Publiczne ujawnienie exploita zwiększa prawdopodobieństwo ataku.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie oprogramowania Eleveo Call Recording do najnowszej dostępnej wersji, jeśli dostępna jest poprawka. Należy również monitorować logi pod kątem nietypowych zapytań GET z wrażliwymi parametrami.
Inne podatności w Eleveo Call Recording Software
Zobacz wszystkie- CVE-2026-108809Niskie
W Eleveo Call Recording Software do wersji 10.3.0 zidentyfikowano podatność w nieznanym przetwarzaniu pliku /auth/realms/default/protocol/openid-connect/logout. Manipulacja prowadzi do wygaśnięcia sesji. Atak zdalny jest możliwy. Exploit jest publicznie dostępny i może być wykorzystany. Sprzedawca nie odpowiedział na zgłoszenie.
- CVE-2026-101145Średnie
W Eleveo Call Recording Software 9.7.0 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku /callrec/userAddAction.do komponentu User Management. Manipulacja argumentem Username prowadzi do wstrzyknięcia LDAP. Atak może być wykonany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101144Średnie
W Eleveo Call Recording Software 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej części pliku /callrec/searchAction.do komponentu Query Builder. Manipulacja powoduje nieprawidłowe kontrole dostępu. Zdalne wykorzystanie ataku jest możliwe. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101141Niskie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w nieznanej funkcji pliku /callrec/audio.jsp w komponencie Play Audio Page. Manipulacja argumentami viewRoleId/cfType prowadzi do cross-site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-85405Niskie
Podatność w Eleveo Call Recording Software 9.7.0 dotyczy nieznanej części pliku /callrec/roleAddAction.do. Manipulacja argumentem name/username prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-15474Średnie
W Eleveo Call Recording Software 9.7.0 wykryto lukę w mechanizmie autoryzacji. Nieznana funkcja w pliku /callrec/audio.jsp nieprawidłowo weryfikuje uprawnienia dla parametru callId, co umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15472Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/composeEmailAction.do. Nieznany kod umożliwia zdalną manipulację prowadzącą do nieprawidłowej autoryzacji. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15471Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/pci_dss_status.jsp, która umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-15470Średnie
W oprogramowaniu Eleveo Call Recording Software 9.7.0 odkryto podatność w pliku /callrec/group.jsp. Nieznana funkcjonalność tego pliku umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-15377Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/sendlogfile. Nieznana funkcjonalność tego pliku powoduje nieprawidłową autoryzację, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Eleveo Call Recording Software up to 10.3.0. This vulnerability affects unknown code of the file /auth/realms/default/protocol/openid-connect/logout of the component JWT Token Handler. Executing a manipulation of the argument id_token_hint can lead to use of get request method with sensitive query strings. The attack may be launched remotely. A high complexity level is associated with this attack. It is stated that the exploitability is difficult. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS