CVE-2026-111688

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych ról poprzez wysłanie openDataFilter=false. Atakujący mogą dołączyć ten parametr do punktów końcowych getByParentId lub search działu, aby uzyskać całe drzewo działów organizacji i nazwy poza przypisanym zakresem.

Ocena ryzyka

Luka umożliwia nieautoryzowany dostęp do struktury organizacyjnej i nazw działów, co może ułatwić planowanie ataków wewnętrznych. Organizacja może ponieść straty wizerunkowe i naruszyć polityki bezpieczeństwa.

Rekomendacja

Należy zaktualizować XBoot do wersji nowszej niż 3.3.4 lub zastosować poprawkę producenta. Zaleca się również weryfikację i wzmocnienie kontroli zakresu danych ról.

Inne podatności w Exrick XBoot

CVE-2026-111689Średnie
Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy użytkowników z dowolnego działu poprzez ignorowanie zakresu danych roli. Atakujący mogą wysyłać żądania GET /xboot/user/getByDepartmentId/{departmentId} z dowolnymi identyfikatorami działów, aby uzyskać nazwy użytkowników, prawdziwe nazwiska, numery telefonów, adresy e-mail i statusy.

Oryginalny opis (angielski, źródło NVD)

Exrick XBoot through 3.3.4 contains an authorization bypass vulnerability that allows authenticated users to evade role data-scope restrictions by sending openDataFilter=false. Attackers can append this parameter to the department getByParentId or search endpoints to retrieve the entire organization's department tree and names outside their assigned scope.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS