CVE-2026-115998
ŚrednieCVSS 4.3Streszczenie
Podatność IDOR w Cervantes w wersji v1.3-beta pozwala uwierzytelnionemu atakującemu na dostęp do wrażliwych ustaleń, szczegółów proof-of-concept, poświadczeń i informacji o klientach z projektów, do których nie należy. Dodatkowo atakujący może modyfikować statusy ustaleń i przenosić je do własnych projektów, naruszając poufność i integralność danych.
Ocena ryzyka
Atakujący z ważnym kontem może uzyskać dostęp do krytycznych danych innych projektów, w tym poświadczeń i informacji o klientach, co może prowadzić do wycieku danych i naruszenia zaufania.
Rekomendacja
Zaktualizuj Cervantes do wersji nowszej niż v1.3-beta, jeśli jest dostępna, lub wdroż dodatkowe kontrole autoryzacji dostępu do projektów i danych.
Inne podatności w Cervantes
Zobacz wszystkie- CVE-2026-115994Średnie
Podatność BOLA w Cervantes w wersji v1.3-beta pozwala atakującemu na modyfikację lub usunięcie celów należących do innych projektów bez autoryzacji, naruszając integralność zakresów testów penetracyjnych, wyników i powiązanych raportów bezpieczeństwa.
- CVE-2026-115993Średnie
W wersji v1.3-beta aplikacji Cervantes występuje podatność typu Stored XSS w polu „Notes” w sekcji Checklists. Atakujący może zapisać złośliwy kod, który następnie zostanie wykonany w przeglądarce innego użytkownika z podwyższonymi uprawnieniami.
- CVE-2026-115975Wysokie
W komponencie JiraController w Cervantes w wersji v1.3-beta występuje nieprawidłowa kontrola dostępu, która może pozwolić atakującemu na tworzenie, edycję lub usuwanie zgłoszeń Jira dla podatności w innych projektach. Luka wynika z niewystarczającej weryfikacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
IDOR in Cervantes version v1.3-beta could allow an authenticated attacker ca access sensitive findings, proof-of-concept details, credentials, and client information from projects they do not belong to. Additionally, they can modify finding statuses and transfer findings to their own projects, compromising data confidentiality and integrity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS