CVE-2026-14953
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Zdalny atakujący z niskimi uprawnieniami może wyliczyć wszystkich skonfigurowanych użytkowników i zidentyfikować konta z podwyższonymi uprawnieniami, korzystając z punktu końcowego /api/user/fetch-all.php.
Ocena ryzyka
Ujawnienie listy użytkowników i ich uprawnień może ułatwić ataki ukierunkowane, takie jak phishing lub próby eskalacji uprawnień.
Rekomendacja
Należy ograniczyć dostęp do punktu końcowego /api/user/fetch-all.php tylko dla uprawnionych administratorów oraz wdrożyć mechanizmy uwierzytelniania i autoryzacji.
Inne podatności w Unknown Application
Zobacz wszystkie- CVE-2026-50208Krytyczne
Wysokiego ryzyka procedury TrustAllCerts wyłączają standardową walidację certyfikatów TLS. W połączeniu z zakodowanymi na stałe kluczami szyfrowania DES, atakujący typu Man-in-the-Middle może odszyfrować ruch sieciowy.
- CVE-2026-14949Średnie
Zdalny atakujący z niskimi uprawnieniami i ważną sesją może utworzyć nowe konta użytkowników z dowolnymi wartościami ról, w tym z najwyższym poziomem uprawnień, korzystając z funkcji /api/user/add.php.
Oryginalny opis (angielski, źródło NVD)
A low-privileged remote attacker can enumerate all configured users and identify which accounts hold elevated privileges using the endpoint /api/user/fetch-all.php.