CVE-2026-19359
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W produkcie nxp-auto-goldvip gvip do wersji 1.4.0 wykryto podatność związaną z niewłaściwą kontrolą dostępu w funkcji SitewiseCustomFunction komponentu Lambda Function Handler. Atak może być przeprowadzony zdalnie. Problem został naprawiony w wersji 1.15.0.
Ocena ryzyka
Niewłaściwa kontrola dostępu może umożliwić atakującemu nieautoryzowany dostęp do zasobów lub funkcji, co może prowadzić do naruszenia bezpieczeństwa danych. Producent potwierdził, że problem został rozwiązany w nowszych wersjach.
Rekomendacja
Zaleca się aktualizację do wersji 1.15.0 lub nowszej, która zawiera poprawkę. Należy również przejrzeć konfigurację uprawnień IAM w środowisku AWS.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in nxp-auto-goldvip gvip up to 1.4.0. Affected by this issue is the function SitewiseCustomFunction of the component Lambda Function Handler. Such manipulation leads to improper access controls. The attack can be launched remotely. Upgrading to version 1.15.0 can resolve this issue. Upgrading the affected component is advised. The project explains: "The reported IAM permission configuration is a known historical issue that was already addressed in 2024, beginning with GoldVIP version 1.13.0. The permissions were updated in subsequent releases, including version 1.15.0. In addition, we also sent a request to either update or deprecate the older release in the AWS SAR application repository."