CVE-2026-16971
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni walidacji MFA przed atakami brute-force.
Ocena ryzyka
Atakujący może wielokrotnie próbować odgadnąć kod MFA, co umożliwia obejście uwierzytelniania wieloskładnikowego i nieautoryzowany dostęp.
Rekomendacja
Należy wdrożyć ograniczenia liczby prób MFA, np. blokadę po kilku nieudanych próbach lub wydłużenie czasu blokady.
Inne podatności w IRIS
Zobacz wszystkie- CVE-2026-18362Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni uwierzytelniania użytkowników przed atakami brute-force.
- CVE-2026-18360Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji atrybutów niestandardowych.
- CVE-2026-16970Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) zawiera nieskuteczną funkcję wylogowania. Skradzione ciasteczka sesji mogą być długo wykorzystywane.
- CVE-2026-16969Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji aktywów.
- CVE-2026-42547Średnie
IRIS to internetowa platforma współpracy pomagająca osobom reagującym na incydenty w udostępnianiu szczegółów technicznych podczas dochodzeń. W wersjach przed 2.4.28 użytkownicy mogą tworzyć alerty dla klientów, którzy nie są im przypisani. Można to nadużyć do fałszywego przypisywania fałszywych alertów klientom. W połączeniu z Cross-Site Scripting (XSS) może to być również wykorzystane do eksfiltracji alertów od innych klientów. Wersja 2.4.28 zawiera łatkę.
- CVE-2026-42543Średnie
Platforma IRIS przed wersją 2.4.28 jest podatna na atak CSRF, ponieważ używa metody HTTP GET do zmiany stanu na serwerze. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu ofiary.
- CVE-2026-42540Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty w udostępnianiu szczegółów technicznych. Wersje przed 2.4.28 umożliwiały użytkownikowi zmianę wartości w bazie danych poprzez manipulację żądaniami API.
- CVE-2026-42539Średnie
IRIS to platforma internetowa wspomagająca wymianę informacji technicznych podczas dochodzeń. Wersje przed 2.4.28 zwracają użytkownikowi wrażliwe dane, które nie są potrzebne do działania klienta. Wersja 2.4.28 zawiera poprawkę.
- CVE-2026-42538Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty. Wersje przed 2.4.28 nie walidują poprawnie przesyłanych plików, co umożliwia wykorzystanie aplikacji do hostowania stron phishingowych oraz stwarza podatność na Cross-Site Scripting (XSS).
- CVE-2026-42329Średnie
Platforma Iris przed wersją 2.4.28 zawiera słabość, która pozwala atakującemu przekierować użytkownika do złośliwej strony internetowej. Jest to podatność na otwarte przekierowanie.
Oryginalny opis (angielski, źródło NVD)
The IRIS web application in version 2.4.26 and possibly others does not protect its MFA validation against brute-force attacks.