CVE-2026-111716
ŚrednieCVSS 5.4Streszczenie
Arkon do wersji 0.9.2 zawiera podatność złamanej kontroli dostępu, która pozwala uwierzytelnionym pracownikom odczytywać i modyfikować źródła innych działów, ponieważ trasy by-id w app/routers/sources.py pomijają sprawdzenie can_access_document. Atakujący mogą wywołać trasy plan, progress, PATCH, retry i approve-extraction z identyfikatorami obcych źródeł, aby ujawnić pochodne tytuły i podsumowania wiki oraz zmienić stan przetwarzania.
Ocena ryzyka
Pracownicy mogą nieautoryzowanie odczytywać i modyfikować dane źródłowe innych działów, co może prowadzić do wycieku informacji i manipulacji danymi. Może to naruszyć integralność systemu i poufność danych.
Rekomendacja
Zaktualizuj Arkon do wersji nowszej niż 0.9.2, która naprawia tę podatność. Do czasu aktualizacji rozważ wdrożenie dodatkowych kontroli dostępu na poziomie aplikacji lub monitorowanie nietypowych operacji na źródłach.
Inne podatności w Arkon
Zobacz wszystkie- CVE-2026-111717Średnie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w funkcji list_skill_versions, która pozwala uwierzytelnionym pracownikom odczytywać metadane wersji umiejętności innych działów poprzez obejście sprawdzenia can_access_skill. Atakujący posiadający domyślne uprawnienie skill:read mogą wysłać żądanie GET /api/skills/{slug}/versions dla umiejętności innego działu, aby uzyskać numery wersji, hashe, ścieżki przechowywania i dzienniki zmian.
- CVE-2026-111715Średnie
Arkon do wersji 0.9.2 zawiera podatność braku autoryzacji w GET /api/wiki/graph, która pozwala uwierzytelnionym pracownikom odczytywać metadane wiki innych działów poprzez podanie obcego sluga. Atakujący posiadający jedynie uprawnienie wiki:read:own_dept mogą wywołać get_neighborhood() bez sprawdzeń zakresu, aby uzyskać slugi stron, tytuły, typy i krawędzie linków do głębokości 3.
Oryginalny opis (angielski, źródło NVD)
Arkon through 0.9.2 contains a broken access control vulnerability that allows authenticated employees to read and modify other departments' sources because by-id routes in app/routers/sources.py skip can_access_document. Attackers can call the plan, progress, PATCH, retry and approve-extraction routes with foreign source IDs to disclose derived wiki titles and summaries and alter ingestion state.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS