CVE-2026-117472
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Psono Server CE i EE w wersjach 4.0.33–7.2.3 porównywał ścieżkę żądania dla endpointu bulk-secret-read z zakodowaną ścieżką bez prefiksu. W konfiguracjach z URL_PREFIX porównanie zawodziło i żądanie POST było autoryzowane z uprawnieniem zapisu zamiast odczytu, co pozwalało uwierzytelnionemu atakującemu z kluczem API bez uprawnień odczytu na pobranie zaszyfrowanych sekretów i nonces.
Ocena ryzyka
Atakujący z ograniczonym kluczem API może uzyskać dostęp do zaszyfrowanych danych sekretów, co narusza zasadę najmniejszych uprawnień. Domyślna konfiguracja bez URL_PREFIX nie jest podatna.
Rekomendacja
Zaktualizuj Psono Server do wersji nowszej niż 7.2.3. Jeśli używasz URL_PREFIX, zweryfikuj konfigurację i ogranicz uprawnienia kluczy API.
Inne podatności w Psono Server
Zobacz wszystkie- CVE-2026-117471Średnie
Psono Server CE i EE w wersjach 0.1.0–7.2.3 akceptował hosta kontrolowanego przez użytkownika przy konfiguracji osobistego urządzenia Duo i przekazywał go do klienta Duo bez listy dozwolonych i jawnego limitu czasu. Uwierzytelniony atakujący mógł spowodować połączenie serwera z wybranymi hostami przez HTTPS na porcie 443 i rozróżnić tryby błędów, tworząc wyrocznię wewnętrznego DNS i osiągalności usług.
- CVE-2026-117470Średnie
Psono Server CE i EE w wersjach 3.1.0–7.2.3 nie zużywał zapisanego wyzwania WebAuthn po weryfikacji asercji. Nieuwierzytelniony atakujący posiadający hasło użytkownika i jedną przechwyconą ważną asercję WebAuthn mógł ją odtworzyć z osobnymi tokenami logowania, omijając drugi czynnik WebAuthn.
- CVE-2026-117469Średnie
Psono Server (CE i EE) w wersjach 1.0.0–7.2.3 nie wymuszał kierunku poświadczeń transferu plików w operacjach repozytorium plików. Uwierzytelniony atakujący z dostępem tylko do odczytu mógł przedstawić transfer pobierania do endpointu wysyłania, uzyskać podpisany URL wysyłania dla wybranego klucza obiektu i dołączyć fragment do pliku właściciela.
- CVE-2026-117468Średnie
Psono Server w wersjach 5.3.5–7.2.3 używał klasy uprawnień, która nie wymuszała zakresu zapisu tokenu przy zgłaszaniu kodu urządzenia. Uwierzytelniony atakujący z sesją opartą na ograniczonym kluczu API mógł zgłosić kontrolowany przez siebie kod urządzenia i uzyskać pełną sesję odczytu i zapisu ważną do 365 dni.
Oryginalny opis (angielski, źródło NVD)
Psono Server CE && EE versions 4.0.33 through 7.2.3 compared the request path for the bulk-secret-read endpoint with a hard-coded unprefixed path. In deployments configured with URL_PREFIX, the comparison failed and the POST request was authorized using write scope instead of read scope. An authenticated remote attacker with an unusual read-disabled, write-enabled API key could therefore retrieve encrypted secret data and nonces through the prefixed bulk-secret-read endpoint despite lacking read permission. The default configuration without URL_PREFIX was not affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS