CVE-2026-109431
WysokieCVSS 8.1Streszczenie
Camunda 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest, która pozwala uwierzytelnionym atakującym bez przyznanych uprawnień na dostęp do komentarzy i załączników zadań poprzez wywołanie pojedynczych punktów końcowych odczytu i usuwania, które nie mają filtrów autoryzacji wymuszanych na odpowiadających im punktach końcowych listy. Atakujący mogą wykorzystać metody TaskAttachmentResourceImpl i TaskCommentResourceImpl, takie jak getAttachment, getAttachmentData, deleteAttachment i getComment, używając tylko znanego identyfikatora obiektu, aby odczytać, pobrać lub trwale usunąć załączniki i komentarze zadań.
Ocena ryzyka
Uwierzytelniony użytkownik bez uprawnień może uzyskać dostęp do wrażliwych danych lub je usunąć, co może prowadzić do naruszenia poufności i integralności. Ryzyko dotyczy instalacji Camunda 7 w podanych wersjach.
Rekomendacja
Zaktualizuj Camunda 7 do wersji 7.24.14 lub 7.23.17 (lub nowszej). W międzyczasie rozważ ograniczenie dostępu do punktów końcowych engine-rest lub wdrożenie dodatkowej kontroli autoryzacji.
Inne podatności w Camunda 7
Zobacz wszystkie- CVE-2026-109432Krytyczne
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
- CVE-2026-77226Wysokie
Camunda 7.24.0 przed 7.24.15 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym pierwszego uruchomienia aplikacji Admin, gdzie SetupResource błędnie ustala dostępność konfiguracji, licząc tylko bezpośrednich członków grupy camunda-admin. Nieuwierzytelniony zdalny atakujący może wykorzystać tę wadę logiki, aby wywołać punkt końcowy tworzenia użytkownika i utworzyć nowe konto administratora, gdy grupa camunda-admin jest pusta, ale system jest w pełni zarządzany.
Oryginalny opis (angielski, źródło NVD)
Camunda 7.24.0 before 7.24.14 and 7.23.0 before 7.23.17 contains a missing authorization check vulnerability in engine-rest task sub-resources that allows authenticated attackers with no permission grants to access task comments and attachments by calling singular read and delete endpoints that lack the authorization-filtered checks enforced on their corresponding list endpoints. Attackers can exploit TaskAttachmentResourceImpl and TaskCommentResourceImpl methods such as getAttachment, getAttachmentData, deleteAttachment, and getComment using only a known object ID to read, download, or permanently delete task attachments and comments.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS