CVE-2026-111606
WysokieCVSS 8.1Streszczenie
Huly Platform do wersji 0.7.432 zawiera lukę braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi scalać dowolne osoby, wywołując RPC konta mergeSpecifiedPersons. Atakujący znający dwa UUID osób może dołączyć kontrolowane przez siebie niezweryfikowane identyfikatory społecznościowe do osoby ofiary, a następnie użyć logowania lub odzyskiwania hasła, aby przejąć konto ofiary.
Ocena ryzyka
Atakujący może przejąć konto ofiary, co prowadzi do nieautoryzowanego dostępu do danych i działań w imieniu ofiary. Stanowi to poważne zagrożenie dla bezpieczeństwa kont i poufności informacji.
Rekomendacja
Zaktualizuj Huly Platform do wersji nowszej niż 0.7.432, jeśli jest dostępna, lub ogranicz dostęp do RPC mergeSpecifiedPersons. Wprowadź weryfikację uprawnień i potwierdzenie przed scalaniem osób.
Inne podatności w Huly Platform
Zobacz wszystkie- CVE-2026-91079Wysokie
Huly Platform do wersji 0.7.426 zawiera podatność server-side request forgery w usłudze drukowania z powodu braku walidacji listy dozwolonych nazw hostów. Uwierzytelnieni członkowie przestrzeni roboczej mogą podać dowolne adresy URL do punktu końcowego drukowania, które Puppeteer renderuje i zwraca jako pliki PDF lub obrazy do pobrania, umożliwiając dostęp do wewnętrznych usług metadanych i hostów sieciowych.
- CVE-2026-56769Wysokie
Platforma Huly do wersji 0.7.423 zawiera uwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /import front pod. Umożliwia ona użytkownikom obszaru roboczego wykonywanie dowolnych żądań serwerowych poprzez dostarczenie złośliwych adresów URL.
- CVE-2026-12213Średnie
Podatność w hcengineering Huly Platform do wersji 0.7.0. Funkcja getAccountInfo w pliku server/account/src/operations.ts (komponent User Information Handler) ma nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-12212Średnie
W hcengineering Huly Platform do wersji 0.7.0 w funkcji getMailboxSecret pliku server/account/src/operations.ts (komponent RPC Interface) stwierdzono nieprawidłową kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5623Średnie
Platforma Huly (hcengineering) w wersji 0.7.382 zawiera podatność na SSRF w punkcie końcowym Import w pliku server/front/src/index.ts. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Huly Platform through 0.7.432 contains a missing authorization vulnerability that allows any authenticated user to merge arbitrary persons by calling the mergeSpecifiedPersons account RPC. Attackers knowing two person UUIDs can graft attacker-controlled unverified social ids onto a victim person, then use login or password recovery to take over the victim account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS