CVE-2026-1564

Platforma Pega Platform w wersjach od 7.1.0 do 25.1.2 jest dotknięta podatnością nieprawidłowej walidacji danych wejściowych używanych w warunkach pętli, co może prowadzić do nadmiernego zapętlania, a w konsekwencji do odmowy usługi lub innych skutków.

Pega Platform w wersjach od 8.5.0 do 25.1.2 ma problem z nieprawidłową walidacją podpisów kryptograficznych, co może pozwolić atakującemu na ominięcie zabezpieczeń.

Platforma Pega w wersjach od 23.1.0 do 25.1.3 jest dotknięta podatnością na trwały atak XSS (Stored Cross-site Scripting) w komponencie interfejsu użytkownika. Wymaga to użytkownika z wysokimi uprawnieniami i rolą dewelopera.

Podatność Reflected XSS w Pega Platform w wersjach 8.1.0 do 25.1.2 dotyczy komponentu interfejsu użytkownika. Wymaga użytkownika z wysokimi uprawnieniami (rola dewelopera).

Podatność Stored XSS w Pega Platform w wersjach 8.1.0 do 25.1.2 dotyczy komponentu interfejsu użytkownika. Wymaga użytkownika z wysokimi uprawnieniami (rola dewelopera).

Wersje Pega Platform od 8.3.0 do Infinity 25.1.2 mają słabość w autoryzacji, która może umożliwić uwierzytelnionym użytkownikom dostęp do dodatkowych danych za pomocą spreparowanych adresów URL.

Pega Platform w wersjach od 8.1.0 do 25.1.1 zawiera lukę typu Stored Cross-Site Scripting w komponencie interfejsu użytkownika. Wymaga ona użytkownika o wysokich uprawnieniach z rolą dewelopera.

Pega Platform w wersjach od 8.1.0 do 25.1.0 jest podatna na atak Stored Cross-site Scripting (XSS) w komponencie interfejsu użytkownika. Atak wymaga uprawnień administracyjnych i rozległych praw dostępu, a wpływ na poufność jest niski, a na integralność żaden.

Podatność polegająca na enumeracji użytkowników w Pega Platform (wersje 7.1.0 do Infinity 25.1.0) występuje podczas procesu uwierzytelniania, gdzie różnica w czasie odpowiedzi pozwala zdalnemu nieuwierzytelnionemu atakującemu określić, czy nazwa użytkownika jest prawidłowa. Dotyczy to tylko przestarzałej funkcji podstawowego uwierzytelniania.

Platforma Pega w wersjach od 8.7.5 do Infinity 24.2.2 ma podatność typu Insecure Direct Object Reference w komponencie interfejsu użytkownika, która pozwala tylko na odczyt danych.