CVE-2026-18972
KrytyczneCVSS 9.6Streszczenie
Uwierzytelniony atakujący może podszyć się pod innego użytkownika GUI, wysyłając żądanie z niestandardowym nagłówkiem "Grpc-Metadata-USER". Może to prowadzić do przejęcia konta od użytkownika z niskimi uprawnieniami do administratora.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć konto administratora, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zastosuj poprawkę od producenta, która usuwa podatność na podszywanie się. Dodatkowo weryfikuj tożsamość użytkownika na podstawie bezpiecznych mechanizmów uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
An authenticated attacker can spoof another GUI user's identity by sending their request with the custom header \"Grpc-Metadata-USER\". This can lead to an account takeover attack from a user with low privileges to administrator.