CVE-2026-111654

ŚrednieCVSS 6.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

FastBee do wersji 2.1.0 zawiera podatność typu insecure direct object reference (IDOR), która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp do grup urządzeń innych użytkowników, ponieważ zapytania GroupController nie zawierają kontroli właściciela. Atakujący, w tym samodzielnie zarejestrowani użytkownicy, mogą podawać sekwencyjne identyfikatory grup, aby odczytywać, nadpisywać, przypisywać ponownie, przepisywać powiązania urządzeń lub usuwać grupy innych użytkowników.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu i modyfikacji grup urządzeń innych użytkowników, co może prowadzić do naruszenia poufności, integralności i dostępności danych.

Rekomendacja

Zaktualizuj FastBee do wersji nowszej niż 2.1.0, jeśli jest dostępna, lub wdróż kontrole właściciela w zapytaniach GroupController, aby zweryfikować uprawnienia użytkownika.

Inne podatności w FastBee

CVE-2026-110124Wysokie
FastBee do wersji 2.1.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w DeviceController, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt i modyfikację urządzeń innych dzierżawców poprzez podanie sekwencyjnych identyfikatorów urządzeń.

Oryginalny opis (angielski, źródło NVD)

FastBee through 2.1.0 contains an insecure direct object reference vulnerability that allows authenticated low-privilege users to access other users' device groups because GroupController queries lack owner checks. Attackers, including self-registered users, can supply sequential group IDs to read, overwrite, reassign, rewrite device associations of, or delete other users' groups.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS