CVE-2026-12258
KrytyczneCVSS 9.2Streszczenie
W API REST v1.0 firmy Hiperdino występuje niewystarczająca kontrola dostępu. Publiczny endpoint 'customer/check' pozwala uwierzytelnionemu atakującemu podać numer telefonu lub adres e-mail, a gdy wartość należy do zarejestrowanego klienta, usługa zwraca powiązane dane (adres e-mail i numer telefonu). Nie jest wymagane uwierzytelnienie poza statycznym tokenem bearer, brak jest ograniczania liczby żądań i generycznych komunikatów błędów.
Ocena ryzyka
Zdalny atakujący może wyliczać dane kontaktowe użytkowników, co stanowi naruszenie poufności informacji. Wymaga to jednak uzyskania ważnego statycznego tokenu bearer.
Rekomendacja
Wprowadź właściwą kontrolę dostępu do endpointu 'customer/check', ograniczanie liczby żądań oraz generyczne komunikaty błędów. Zastąp statyczny token bearer mechanizmem silnego uwierzytelniania.
Powiązane podatności
- CVE-2026-87796Krytyczne
Wtyczka Multi Uploader for Gravity Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.1.9 włącznie, poprzez funkcję move_file. Wynika to z niewystarczającej walidacji typów plików podczas obsługi przesyłania fragmentarycznego. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-61594Krytyczne
djust przed wersją 1.0.7 ma podatność w transporcie WebSocket, która omija standardowe mechanizmy autoryzacji Django (takie jak LoginRequiredMixin, PermissionRequiredMixin itp.) oraz bramkę dla personelu w rozszerzeniu administracyjnym. Autoryzacja mounta odbywa się przez check_view_auth, a nie przez łańcuch View.dispatch(), co pozwala anonimowym lub nieuprzywilejowanym klientom na otwarcie WebSocket i wywołanie handlerów widoków, w tym administracyjnych.
- CVE-2026-92805Krytyczne
UVdesk Community Skeleton do wersji 1.1.8 nie uwierzytelnia ani nie weryfikuje stanu instalacji na punktach końcowych kreatora w akcjach kontrolera ConfigureHelpdesk. Nieuwierzytelnieni atakujący mogą zmienić konfigurację bazy danych i utworzyć konta super administratora, wysyłając spreparowane żądania do punktów końcowych kreatora, co daje pełną kontrolę nad instancją.
- CVE-2026-92787Krytyczne
Feast do wersji 0.66.0 nie weryfikuje podpisów tokenów JWT przed ustaleniem tożsamości użytkownika, co pozwala atakującym ominąć wszystkie mechanizmy kontroli dostępu oparte na rolach, prezentując niezweryfikowany token z zakodowaną wartością. Atakujący mogą uzyskać zaufaną wewnętrzną tożsamość i niekontrolowany dostęp do odczytu i zapisu do wszystkich encji, widoków funkcji, źródeł danych i polityk uprawnień na serwerze.
- CVE-2026-76460KrytyczneAktywnie exploitowane
Podatność w API Cisco Identity Services Engine (ISE) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu ominięcie uwierzytelniania. Wynika to z niewystarczającej kontroli uwierzytelniania na punkcie końcowym API. Atakujący może wysłać spreparowane żądanie do tego punktu, aby uzyskać nieautoryzowany dostęp do urządzenia, omijając interfejs zarządzania oparty na sieci Web.
- CVE-2026-75513Krytyczne
Marten od wersji 7.0.0 do 9.13.0 ma podatność polegającą na interpolacji sterowanych przez atakującego ciągów znaków do literałów SQL w zapytaniach LINQ i zarządzaniu tenantami bez odpowiedniego escapowania lub parametryzacji. Potwierdzony wektor to klucz indeksatora słownika używany w filtrach Where. Może to umożliwić ominięcie filtrów, autoryzacji multi-tenant oraz ślepe wyodrębnienie danych, a w niektórych konfiguracjach także modyfikację danych.
- CVE-2026-20332Krytyczne
Podatności w oprogramowaniu Cisco Secure Adaptive Security Appliance Software, Cisco Secure Firewall Threat Defense Software i Cisco Secure Firewall Management Center Software są związane z niewłaściwą kontrolą dostępu (CWE-284). Zostały one wykryte podczas wewnętrznego przeglądu bezpieczeństwa i zostały zaadresowane w wydaniu wzmacniającym oprogramowanie.
- CVE-2026-20284Krytyczne
Podatność w SXP REST API Cisco ISE umożliwia uwierzytelnionemu, zdalnemu atakującemu przeprowadzenie ataków SQL injection. Wynika to z niewystarczającej walidacji danych wejściowych w wywołaniach REST API. Udany atak może pozwolić na odczyt lub modyfikację danych w bazie danych, a w przypadku pojedynczego węzła może spowodować niedostępność węzła (DoS).
- CVE-2026-92808Krytyczne
Podatność typu Server-Side Request Forgery (SSRF) w usłudze UnifiedLogin serwera Altium Enterprise Server. Nieuwierzytelniony atakujący może spowodować, że serwer wyśle żądania HTTP do wybranego przez siebie celu, w tym do wewnętrznych usług dostępnych tylko z serwera. Jedna z takich usług udostępnia konfigurację i dane uwierzytelniające bez uwierzytelnienia, polegając na lokalnym pochodzeniu żądania, co jest spełnione w przypadku sfałszowanych żądań.
- CVE-2026-89083Krytyczne
Firma HP zidentyfikowała potencjalne luki w zabezpieczeniach oprogramowania HP Advance, które mogą umożliwić podniesienie uprawnień, zdalne wykonanie kodu lub zapis dowolnych plików w określonych warunkach. Luki te wpływają na serwer HP Advance hostujący to oprogramowanie.
Oryginalny opis (angielski, źródło NVD)
Inadequate access control in Hiperdino’s REST v1.0 API. The public endpoint ‘customer/check’ could allow an authenticated attacker to enter a telephone number or an email address. When the value entered belongs to a registered customer, the service returns the associated information (email address and telephone number). No authentication is required beyond a static bearer token, and there is no rate limiting or generic error handling. Successful exploitation of this vulnerability could allow a remote attacker to enumerate a user’s contact details, although this would require obtaining a valid static bearer token, constituting an information disclosure vulnerability.