CVE-2026-14949
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Zdalny atakujący z niskimi uprawnieniami i ważną sesją może utworzyć nowe konta użytkowników z dowolnymi wartościami ról, w tym z najwyższym poziomem uprawnień, korzystając z funkcji /api/user/add.php.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad aplikacją, tworząc konta z uprawnieniami administratora, co może prowadzić do całkowitego naruszenia bezpieczeństwa.
Rekomendacja
Należy natychmiast ograniczyć dostęp do /api/user/add.php tylko dla uprawnionych administratorów oraz zweryfikować i wzmocnić kontrolę ról.
Inne podatności w Unknown Application
Zobacz wszystkie- CVE-2026-50208Krytyczne
Wysokiego ryzyka procedury TrustAllCerts wyłączają standardową walidację certyfikatów TLS. W połączeniu z zakodowanymi na stałe kluczami szyfrowania DES, atakujący typu Man-in-the-Middle może odszyfrować ruch sieciowy.
- CVE-2026-14953Średnie
Zdalny atakujący z niskimi uprawnieniami może wyliczyć wszystkich skonfigurowanych użytkowników i zidentyfikować konta z podwyższonymi uprawnieniami, korzystając z punktu końcowego /api/user/fetch-all.php.
Oryginalny opis (angielski, źródło NVD)
A low privileged remote attacker with a valid session can submit a request to the user creation functionality exposed through /api/user/add.php to create new accounts with arbitrary role values, including the highest privilege level used by the application.