CVE-2026-115975
WysokieCVSS 7.1Streszczenie
W komponencie JiraController w Cervantes w wersji v1.3-beta występuje nieprawidłowa kontrola dostępu, która może pozwolić atakującemu na tworzenie, edycję lub usuwanie zgłoszeń Jira dla podatności w innych projektach. Luka wynika z niewystarczającej weryfikacji uprawnień.
Ocena ryzyka
Atakujący może manipulować zgłoszeniami Jira w projektach, do których nie powinien mieć dostępu, co może prowadzić do wprowadzenia błędnych danych lub sabotażu procesu zarządzania podatnościami. Może to zakłócić pracę zespołów bezpieczeństwa i deweloperskich.
Rekomendacja
Zaktualizuj Cervantes do wersji nowszej niż v1.3-beta, która naprawia problem kontroli dostępu. Jeśli aktualizacja nie jest dostępna, należy ograniczyć dostęp do JiraController i wdrożyć dodatkowe kontrole uprawnień.
Inne podatności w Cervantes
Zobacz wszystkie- CVE-2026-115998Średnie
Podatność IDOR w Cervantes w wersji v1.3-beta pozwala uwierzytelnionemu atakującemu na dostęp do wrażliwych ustaleń, szczegółów proof-of-concept, poświadczeń i informacji o klientach z projektów, do których nie należy. Dodatkowo atakujący może modyfikować statusy ustaleń i przenosić je do własnych projektów, naruszając poufność i integralność danych.
- CVE-2026-115994Średnie
Podatność BOLA w Cervantes w wersji v1.3-beta pozwala atakującemu na modyfikację lub usunięcie celów należących do innych projektów bez autoryzacji, naruszając integralność zakresów testów penetracyjnych, wyników i powiązanych raportów bezpieczeństwa.
- CVE-2026-115993Średnie
W wersji v1.3-beta aplikacji Cervantes występuje podatność typu Stored XSS w polu „Notes” w sekcji Checklists. Atakujący może zapisać złośliwy kod, który następnie zostanie wykonany w przeglądarce innego użytkownika z podwyższonymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Broken access control in JiraController in Cervantes version v1.3-beta could allow an attacker to create, edit, or delete Jira tickets for vulnerabilities in other projects
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS