CVE-2026-114361

ŚrednieCVSS 5.6

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Wykryto podatność w HarnessRouter do wersji 0.31.10 w pliku gateway/app.py w komponencie Identity Mode. Manipulacja argumentami X-Harness-Org/X-Harness-Member prowadzi do nieprawidłowej autoryzacji. Atak jest możliwy zdalnie, o wysokiej złożoności i trudnej wykorzystywalności.

Ocena ryzyka

Nieprawidłowa autoryzacja może pozwolić atakującemu na obejście kontroli dostępu i dostęp do zasobów lub operacji, do których nie powinien mieć uprawnień. Ze względu na zdalny charakter ataku organizacja jest narażona na eskalację uprawnień w systemie.

Rekomendacja

Zaktualizuj HarnessRouter do wersji 0.31.11 lub zastosuj poprawkę 48a26cdf9c4544d2c88d1a07f0777f063f1d753f. Zweryfikuj, czy komponent Identity Mode jest prawidłowo skonfigurowany.

Inne podatności w HarnessRouter

CVE-2026-114362Średnie
W HarnessRouter do wersji 0.31.12 wykryto lukę w nieznanej funkcji pliku gateway/app.py w komponencie Targets Test Endpoint. Manipulacja argumentem base_url może prowadzić do ataku Server-Side Request Forgery, wykonywanego zdalnie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in HarnessRouter up to 0.31.10. This affects an unknown function of the file gateway/app.py of the component Identity Mode. Performing a manipulation of the argument X-Harness-Org/X-Harness-Member results in improper authorization. The attack is possible to be carried out remotely. The attack is considered to have high complexity. The exploitability is reported as difficult. Upgrading to version 0.31.11 mitigates this issue. The patch is named 48a26cdf9c4544d2c88d1a07f0777f063f1d753f. The affected component should be upgraded.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS