CVE-2026-111680

WysokieCVSS 8.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

APIPark do wersji 1.9.7-beta zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym menedżerom zespołów na dostęp do usług i aplikacji innych zespołów poprzez podanie własnego identyfikatora zespołu w parametrze zapytania team. Atakujący może wskazać identyfikatory usług lub aplikacji ujawnione przez /api/v1/simple/services i /api/v1/simple/apps, aby czytać, modyfikować lub usuwać usługi i aplikacje innych zespołów poprzez endpointy /api/v1/service/info i /api/v1/app.

Ocena ryzyka

Menedżer zespołu może uzyskać dostęp do usług i aplikacji innych zespołów, co prowadzi do nieautoryzowanego ujawnienia danych i modyfikacji konfiguracji. Może to zakłócić działanie innych zespołów i naruszyć integralność systemu.

Rekomendacja

Zaktualizuj APIPark do wersji zawierającej poprawkę lub wdroż kontrolę autoryzacji weryfikującą przynależność zasobów do zespołu. Monitoruj dostęp do endpointów usług i aplikacji pod kątem nieautoryzowanych działań.

Inne podatności w APIPark

CVE-2026-108862Średnie
APIPark do wersji 1.9.7-beta zawiera lukę niebezpiecznego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytać poświadczenia innych aplikacji przez podanie obcego UUID autoryzacji. Atakujący z uprawnieniem authorization-view w jednej aplikacji może odpytać /api/v1/app/authorization lub trasę szczegółów, aby uzyskać klucze API w postaci jawnej, niezależnie od HideCredential.

Oryginalny opis (angielski, źródło NVD)

APIPark through 1.9.7-beta contains an authorization bypass vulnerability that allows authenticated team managers to access other teams' services and applications by supplying their own team id in the team query parameter. Attackers can target service or app ids exposed by /api/v1/simple/services and /api/v1/simple/apps to read, modify, or delete other teams' services and applications via /api/v1/service/info and /api/v1/app endpoints.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS