CVE-2026-12686
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Uwierzytelniony użytkownik może manipulować parametrem identyfikatora firmy w żądaniu POST do backendu, uzyskując nieautoryzowany dostęp do innych firm hostowanych w tym samym środowisku subdomeny. Aplikacja nie weryfikuje, czy żądany identyfikator firmy należy do sesji uwierzytelnionego użytkownika, co prowadzi do obejścia autoryzacji między dzierżawcami.
Ocena ryzyka
Skuteczne wykorzystanie podatności umożliwia nieautoryzowany dostęp do wrażliwych danych klientów, w tym danych rozliczeniowych, oraz może pozwolić na nieautoryzowaną modyfikację danych stron trzecich, co stanowi poważne ryzyko dla poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zaimplementować mechanizm weryfikacji, czy identyfikator firmy w żądaniu POST należy do uwierzytelnionego użytkownika, oraz przeprowadzić audyt kodu w celu wyeliminowania podobnych luk w autoryzacji między dzierżawcami.
Oryginalny opis (angielski, źródło NVD)
An authenticated user could manipulate a company ID parameter in a POST request to the backend to gain unauthorised access to other companies hosted within the same subdomain environment. The application does not adequately verify whether the requested company ID belongs to the authenticated user’s session, resulting in a cross-tenant authorisation bypass. If this vulnerability is successfully exploited, it allows unauthorised access to sensitive customer information, including billing data, and may enable the unauthorised modification of third-party data.