CVE-2026-111676
ŚrednieCVSS 4.3Streszczenie
Faveo Helpdesk do wersji 2.0.3 zawiera podatność typu broken access control, która pozwala uwierzytelnionym agentom odczytywać zgłoszenia z innych działów poprzez handler getTooltip. Atakujący może enumerować kolejne wartości ticketid w żądaniu GET /ticket/tooltip, aby czytać konwersacje zgłoszeń, w tym dane osobowe klientów i wewnętrzne notatki agentów.
Ocena ryzyka
Wyciek danych osobowych klientów oraz wewnętrznych notatek agentów może prowadzić do naruszenia poufności i zgodności z RODO. Nieuprawniony dostęp do zgłoszeń innych działów łamie separację uprawnień w organizacji.
Rekomendacja
Zaktualizuj Faveo Helpdesk do wersji nowszej niż 2.0.3, gdy tylko będzie dostępna. Do czasu aktualizacji ogranicz dostęp do endpointu /ticket/tooltip i weryfikuj uprawnienia działowe po stronie serwera.
Inne podatności w Faveo Helpdesk
Zobacz wszystkie- CVE-2026-115973Wysokie
W FaveoSuite Faveo Helpdesk 2.0.3 funkcja ForgotPasswordController::sendResetLinkEmail/PasswordController::reset w pliku app/Http/Controllers/Auth/ForgotPasswordController.php pozwala na słabe odzyskiwanie hasła. Atak może być przeprowadzony zdalnie.
- CVE-2026-115972Średnie
W FaveoSuite Faveo Helpdesk do wersji 2.0.3 wykryto podatność w funkcjach UnAuthController.changeStatus, close, open i resolve w pliku app/Http/Controllers/Client/helpdesk/UnAuthController.php. Manipulacja argumentami id/status prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.
- CVE-2026-78435Niskie
W Faveo Helpdesk do wersji 2.0.3 występuje podatność na przechodzenie do innych katalogów (path traversal) w funkcji unlink w pliku SettingsController.php (komponent Logo Handler). Manipulacja argumentem data1 umożliwia zdalne usunięcie dowolnych plików. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-78434Średnie
W Faveo Helpdesk do wersji 2.0.3 wykryto brak uwierzytelnienia w funkcji FormController::post_ticket_reply w pliku app/Http/Controllers/Client/helpdesk/FormController.php. Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-72554Średnie
Podatność na złamanie kontroli dostępu w Ladybird Web Solution Faveo Helpdesk 2.0.3 pozwala każdemu samodzielnie zarejestrowanemu klientowi na odczyt rozmów ticketów innych klientów przez API v1 REST. API weryfikuje istnienie żądanego ticketa, ale nie sprawdza własności, co umożliwia dostęp do dowolnych wątków ticketów, w tym wewnętrznych notatek agentów z wrażliwymi informacjami.
Oryginalny opis (angielski, źródło NVD)
Faveo Helpdesk through 2.0.3 contains a broken access control vulnerability that allows authenticated agents to read tickets in other departments via the getTooltip handler. Attackers can enumerate sequential ticketid values on GET /ticket/tooltip to read ticket conversations, including customer personal data and internal agent notes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS