CVE-2026-121020
ŚrednieCVSS 4.3Streszczenie
W interfejsie API konfiguracji bezpieczeństwa AxxonSoft Axxon One przed wersją 3.2.0 występuje ujawnienie poufnych informacji nieuprawnionemu podmiotowi (CWE-200). Zdalny uwierzytelniony użytkownik z ograniczonymi uprawnieniami może wyliczyć wszystkie konta i role w systemie, ponieważ żądanie konfiguracji użytkowników zwracało pełne listy niezależnie od uprawnień wywołującego.
Ocena ryzyka
Ujawnienie listy kont i ról ułatwia atakującemu rozpoznanie środowiska i przygotowanie ukierunkowanych ataków, w tym na konta uprzywilejowane. Może to naruszać zasadę minimalnych uprawnień i wymogi poufności.
Rekomendacja
Zaktualizuj Axxon One do wersji 3.2.0 lub nowszej i przejrzyj uprawnienia kont, aby ograniczyć dostęp do danych konfiguracyjnych zgodnie z zasadą minimalnych uprawnień.
Inne podatności w Axxon One
Zobacz wszystkie- CVE-2026-121022Wysokie
W kliencie webowym AxxonSoft Axxon One przed wersją 3.0.0 występuje użycie domyślnego hasła (CWE-1393). Ponieważ klient webowy nie wymuszał obowiązkowej zmiany hasła przy pierwszym logowaniu, zdalny nieuwierzytelniony atakujący może zalogować się jako wbudowany administrator na nowo zainstalowanym systemie przy użyciu domyślnych poświadczeń.
- CVE-2026-121021Średnie
Wspólna konfiguracja SecurityManager w AxxonSoft Axxon One przed wersją 3.1.0 przechowuje hasło w postaci jawnej (CWE-256). Lokalny atakujący z dostępem do katalogu konfiguracji lub kopii zapasowych może odczytać hasło konta usługi LDAP z pliku main.conf.
- CVE-2025-10223Średnie
W panelu administracyjnym Web Admin Panel w AxxonSoft Axxon One (C-Werk) przed wersją 2.0.3 na Windows występuje niewystarczające wygasanie sesji. Uwierzytelniony atakujący (lokalnie lub zdalnie) może zachować dostęp po odebraniu uprawnień, używając niewygasłego tokena sesji aż do naturalnego wygaśnięcia.
Oryginalny opis (angielski, źródło NVD)
Exposure of Sensitive Information to an Unauthorized Actor (CWE-200) in the security configuration API in AxxonSoft Axxon One before 3.2.0 on Windows and Linux allows a remote authenticated user with limited privileges to enumerate all user accounts and roles configured in the system via the user configuration request, which returned the complete lists of users and roles regardless of the caller's permissions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS