CVE-2026-12213
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w hcengineering Huly Platform do wersji 0.7.0. Funkcja getAccountInfo w pliku server/account/src/operations.ts (komponent User Information Handler) ma nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do informacji o użytkownikach, możliwe eskalacja uprawnień.
Rekomendacja
Zastosuj dostępne łatki lub tymczasowo ogranicz dostęp do API, jeśli producent nie odpowiedział.
Inne podatności w Huly Platform
Zobacz wszystkie- CVE-2026-56769Wysokie
Platforma Huly do wersji 0.7.423 zawiera uwierzytelnioną podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym /import front pod. Umożliwia ona użytkownikom obszaru roboczego wykonywanie dowolnych żądań serwerowych poprzez dostarczenie złośliwych adresów URL.
- CVE-2026-12212Średnie
W hcengineering Huly Platform do wersji 0.7.0 w funkcji getMailboxSecret pliku server/account/src/operations.ts (komponent RPC Interface) stwierdzono nieprawidłową kontrolę dostępu. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-5623Średnie
Platforma Huly (hcengineering) w wersji 0.7.382 zawiera podatność na SSRF w punkcie końcowym Import w pliku server/front/src/index.ts. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in hcengineering Huly Platform up to 0.7.0. Affected by this vulnerability is the function getAccountInfo of the file server/account/src/operations.ts of the component User Information Handler. The manipulation results in improper authorization. The attack may be launched remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.