CVE-2026-115972
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W FaveoSuite Faveo Helpdesk do wersji 2.0.3 wykryto podatność w funkcjach UnAuthController.changeStatus, close, open i resolve w pliku app/Http/Controllers/Client/helpdesk/UnAuthController.php. Manipulacja argumentami id/status prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.
Ocena ryzyka
Atakujący może zdalnie zmieniać statusy zgłoszeń bez odpowiednich uprawnień, co może zakłócić obsługę zgłoszeń i naruszyć integralność danych. Producent został wcześnie powiadomiony o ujawnieniu.
Rekomendacja
Zaktualizuj Faveo Helpdesk do wersji zawierającej poprawkę lub wdróż kontrolę autoryzacji dla endpointów UnAuthController. Do czasu aktualizacji ogranicz dostęp do tych funkcji.
Inne podatności w Faveo Helpdesk
Zobacz wszystkie- CVE-2026-111676Średnie
Faveo Helpdesk do wersji 2.0.3 zawiera podatność typu broken access control, która pozwala uwierzytelnionym agentom odczytywać zgłoszenia z innych działów poprzez handler getTooltip. Atakujący może enumerować kolejne wartości ticketid w żądaniu GET /ticket/tooltip, aby czytać konwersacje zgłoszeń, w tym dane osobowe klientów i wewnętrzne notatki agentów.
- CVE-2026-115973Wysokie
W FaveoSuite Faveo Helpdesk 2.0.3 funkcja ForgotPasswordController::sendResetLinkEmail/PasswordController::reset w pliku app/Http/Controllers/Auth/ForgotPasswordController.php pozwala na słabe odzyskiwanie hasła. Atak może być przeprowadzony zdalnie.
- CVE-2026-78435Niskie
W Faveo Helpdesk do wersji 2.0.3 występuje podatność na przechodzenie do innych katalogów (path traversal) w funkcji unlink w pliku SettingsController.php (komponent Logo Handler). Manipulacja argumentem data1 umożliwia zdalne usunięcie dowolnych plików. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-78434Średnie
W Faveo Helpdesk do wersji 2.0.3 wykryto brak uwierzytelnienia w funkcji FormController::post_ticket_reply w pliku app/Http/Controllers/Client/helpdesk/FormController.php. Atak może być przeprowadzony zdalnie, a exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-72554Średnie
Podatność na złamanie kontroli dostępu w Ladybird Web Solution Faveo Helpdesk 2.0.3 pozwala każdemu samodzielnie zarejestrowanemu klientowi na odczyt rozmów ticketów innych klientów przez API v1 REST. API weryfikuje istnienie żądanego ticketa, ale nie sprawdza własności, co umożliwia dostęp do dowolnych wątków ticketów, w tym wewnętrznych notatek agentów z wrażliwymi informacjami.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in FaveoSuite Faveo Helpdesk up to 2.0.3. Affected by this vulnerability is the function UnAuthController.changeStatus/UnAuthController.close/UnAuthController.open/UnAuthController.resolve of the file app/Http/Controllers/Client/helpdesk/UnAuthController.php. Executing a manipulation of the argument id/status can lead to missing authorization. The attack can be launched remotely. The vendor was contacted early about this disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS