CVE-2026-15373
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W oprogramowaniu Eleveo Call Recording w wersji 9.7.0 wykryto podatność w pliku /callrec/userAddAction.do. Nieznana funkcja tego pliku nieprawidłowo autoryzuje argument role, co umożliwia nieautoryzowane działanie. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dodawania użytkowników lub eskalacji uprawnień, co może prowadzić do naruszenia poufności i integralności nagrań rozmów.
Rekomendacja
Należy natychmiast wyłączyć dostęp do pliku /callrec/userAddAction.do lub zastosować tymczasowe reguły WAF blokujące manipulację argumentem role. Producent nie odpowiedział na zgłoszenie, więc rozważ migrację do innego rozwiązania.
Inne podatności w Eleveo Call Recording Software
Zobacz wszystkie- CVE-2026-15474Średnie
W Eleveo Call Recording Software 9.7.0 wykryto lukę w mechanizmie autoryzacji. Nieznana funkcja w pliku /callrec/audio.jsp nieprawidłowo weryfikuje uprawnienia dla parametru callId, co umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-15472Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/composeEmailAction.do. Nieznany kod umożliwia zdalną manipulację prowadzącą do nieprawidłowej autoryzacji. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15471Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/pci_dss_status.jsp, która umożliwia nieautoryzowany dostęp. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-15470Średnie
W oprogramowaniu Eleveo Call Recording Software 9.7.0 odkryto podatność w pliku /callrec/group.jsp. Nieznana funkcjonalność tego pliku umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-15377Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/sendlogfile. Nieznana funkcjonalność tego pliku powoduje nieprawidłową autoryzację, co umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-15376Średnie
W Eleveo Call Recording Software 9.7.0 znaleziono podatność w pliku /callrec/statisticReportAction.do. Nieznana funkcja umożliwia nieprawidłową autoryzację, co pozwala na zdalne wykorzystanie luki. Exploit został opublikowany, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-15375Średnie
W oprogramowaniu Eleveo Call Recording 9.7.0 wykryto podatność w pliku /callrec/users_ldap.jsp komponentu interfejsu LDAP. Nieznana funkcja umożliwia nieprawidłową autoryzację, co może być wykorzystane zdalnie. Exploit został ujawniony publicznie.
- CVE-2026-15374Średnie
W Eleveo Call Recording Software 9.7.0 wykryto podatność w pliku /callrec/roleAddAction.do w komponencie Group Interface. Manipulacja tym plikiem może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in Eleveo Call Recording Software 9.7.0. The impacted element is an unknown function of the file /callrec/userAddAction.do. Performing a manipulation of the argument role results in improper authorization. It is possible to initiate the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.