CVE-2026-108862

ŚrednieCVSS 5.3

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

APIPark do wersji 1.9.7-beta zawiera lukę niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytać poświadczenia innych aplikacji przez podanie obcego UUID autoryzacji. Atakujący z uprawnieniem authorization-view w jednej aplikacji może odpytać /api/v1/app/authorization lub trasę szczegółów, aby uzyskać klucze API w postaci jawnej, niezależnie od HideCredential.

Ocena ryzyka

Ujawnienie kluczy API innych aplikacji może pozwolić na nieautoryzowany dostęp do chronionych zasobów i podszycie się pod inne aplikacje.

Rekomendacja

Zaktualizuj APIPark do wersji z poprawką lub wdróż weryfikację własności zasobu w endpointach /api/v1/app/authorization i trasie szczegółów, aby uniemożliwić odczyt poświadczeń innych aplikacji.

Inne podatności w APIPark

CVE-2026-111680Wysokie
APIPark do wersji 1.9.7-beta zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym menedżerom zespołów na dostęp do usług i aplikacji innych zespołów poprzez podanie własnego identyfikatora zespołu w parametrze zapytania team. Atakujący może wskazać identyfikatory usług lub aplikacji ujawnione przez /api/v1/simple/services i /api/v1/simple/apps, aby czytać, modyfikować lub usuwać usługi i aplikacje innych zespołów poprzez endpointy /api/v1/service/info i /api/v1/app.

Oryginalny opis (angielski, źródło NVD)

APIPark through 1.9.7-beta contains an insecure direct object reference vulnerability that allows authenticated users to read other applications' credentials by supplying a foreign authorization UUID. Attackers with authorization-view permission on one application can query /api/v1/app/authorization or its details route to retrieve plaintext API keys regardless of HideCredential.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS