CVE-2026-116257

WysokieCVSS 7.3

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 31/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.63%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

W BillaBear do wersji 2025.01.03 funkcja processInstall w pliku src/BillaBear/Controller/InstallController.php (komponent Installation Handler) nie wymaga uwierzytelnienia. Zdalny atakujący może wykorzystać tę lukę, a publiczny exploit jest już dostępny. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Brak uwierzytelnienia w procedurze instalacji może pozwolić zdalnemu atakującemu na ponowne uruchomienie instalatora i przejęcie lub zniszczenie konfiguracji aplikacji. Publiczna dostępność exploitu zwiększa ryzyko.

Rekomendacja

Ogranicz dostęp do punktu końcowego instalacji (np. na poziomie serwera WWW lub sieci) i rozważ aktualizację lub wdrożenie poprawek od producenta, gdy będą dostępne. Monitoruj próby dostępu do InstallController.

Inne podatności w BillaBear

CVE-2026-31069Wysokie
BillaBear (wszystkie wersje przed styczniem 2026) zawiera podatność SQL Injection w EventRepository. Nazwy filtrów metryk i właściwości agregacji są bezpośrednio interpolowane do zapytań SQL przez sprintf() bez odpowiedniego oczyszczania. Uwierzytelniony atakujący z rolą ROLE_ACCOUNT_MANAGER może wykonać dowolne polecenia SQL.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in BillaBear up to 2025.01.03. Affected by this issue is the function processInstall of the file src/BillaBear/Controller/InstallController.php of the component Installation Handler. This manipulation causes missing authentication. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS