CVE-2026-111617

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

WHartTest do wersji 2.8.1 zawiera podatność typu brak uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na połączenie z endpointami WebSocket /ws/ui/web/ i /ws/ui/actuator/, ponieważ UiAutomationConsumer akceptuje każde połączenie. Atakujący może zarejestrować aktor z identyfikatorem dostarczonym przez klienta, aby przechwytywać ładunki przypadków testowych innych użytkowników, odbierać wyniki kroków rozgłaszane oraz fałszować wyniki i klatki ekranu w sesjach ofiar.

Ocena ryzyka

Przechwytywanie i fałszowanie danych testowych — możliwość manipulacji wynikami testów i wstrzykiwania fałszywych informacji. Prowadzi do naruszenia integralności procesu testowego i potencjalnie do błędnych decyzji.

Rekomendacja

Zaktualizować WHartTest do wersji nowszej niż 2.8.1, gdy będzie dostępna, oraz wdrożyć uwierzytelnianie i autoryzację połączeń WebSocket w UiAutomationConsumer. Do czasu poprawki rozważyć ograniczenie dostępu do endpointów WebSocket.

Inne podatności w WHartTest

CVE-2026-119665Średnie
WHartTest w wersjach od 2.2.0 do 2.8.1 zawiera podatność braku autoryzacji w ScheduledTaskViewSet i TaskExecutionViewSet, która pozwala uwierzytelnionym użytkownikom na dostęp do zadań innych projektów. Atakujący mogą ustawić project_pk na sekwencyjny identyfikator innego projektu, aby modyfikować, usuwać lub uruchamiać zaplanowane zadania poprzez run-now oraz czytać logi wykonania.

Oryginalny opis (angielski, źródło NVD)

WHartTest through 2.8.1 contains a missing authentication vulnerability that allows unauthenticated attackers to connect to the /ws/ui/web/ and /ws/ui/actuator/ WebSocket endpoints because UiAutomationConsumer accepts every connection. Attackers can register an actuator with a client-supplied id to intercept other users' test-case payloads, receive broadcast step results, and spoof results and screen frames into victim sessions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS