CVE-2026-14950
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniony zdalny atakujący, posiadający ważny identyfikator sesji, może kontynuować korzystanie z sesji po jej wygaśnięciu. Zwiększa to ryzyko związane z kradzionymi, wyciekniętymi, współdzielonymi lub pozostawionymi sesjami i może umożliwić nieautoryzowany ciągły dostęp do interfejsu webowego FDS.
Ocena ryzyka
Ryzyko obejmuje przedłużony nieautoryzowany dostęp do systemu FDS, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się wdrożenie mechanizmów wymuszających wygasanie sesji po stronie serwera oraz regularne unieważnianie sesji po wylogowaniu.
Inne podatności w FDS
Zobacz wszystkie- CVE-2026-14952Wysokie
Nieuwierzytelniony zdalny atakujący może pobrać wrażliwe pliki z serwera WWW FDS, takie jak archiwum kopii zapasowej `/FdsBackup.zip` oraz dodatkowe pliki w `/downloads/*`, bezpośrednio przez HTTP bez ważnej sesji. Pliki te ujawniają szczegółowe informacje o sygnalizacji kolejowej i układzie torów, które nie powinny być dostępne dla nieuwierzytelnionych użytkowników.
- CVE-2026-14951Wysokie
Zdalny atakujący z niskimi uprawnieniami może spowodować, że uwierzytelnieni użytkownicy wykonają niezamierzone działania w interfejsie webowym FDS za pomocą złośliwych stron internetowych.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated remote attacker in possession of a valid session identifier is able to continue using the session after it should have expired. This increases the risk associated with stolen, leaked, shared, or unattended sessions and may enable unauthorized continued access to the FDS web interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS