CVE-2026-22194
WysokieStreszczenie
GestSup w wersjach do 3.2.60 włącznie zawiera podatność na cross-site request forgery (CSRF), gdzie aplikacja nie weryfikuje autentyczności żądań klienta. Atakujący może nakłonić zalogowanego użytkownika do wysłania spreparowanych żądań, które wykonują działania z uprawnieniami ofiary. Może to być wykorzystane do tworzenia kont uprzywilejowanych poprzez celowanie w endpoint tworzenia użytkownika administracyjnego.
Ocena ryzyka
Atakujący może wykorzystać CSRF do utworzenia konta administratora, co może prowadzić do pełnej kompromitacji systemu GestSup.
Rekomendacja
Zaktualizuj GestSup do wersji nowszej niż 3.2.60, jeśli dostępna, lub wdróż mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF.
Inne podatności w GestSup
Zobacz wszystkie- CVE-2026-22197Wysokie
GestSup w wersjach przed 3.2.60 zawiera wiele podatności na wstrzyknięcie SQL w funkcjonalności listy zasobów. Wiele parametrów żądania używanych do filtrowania, wyszukiwania lub sortowania zasobów jest włączanych do zapytań SQL bez wystarczającej neutralizacji, co pozwala uwierzytelnionemu atakującemu manipulować zapytaniami do bazy danych. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu lub modyfikacji zawartości bazy danych w zależności od uprawnień bazy danych.
- CVE-2026-22196Wysokie
GestSup w wersjach przed 3.2.60 zawiera podatność na wstrzyknięcie SQL w funkcjonalności tworzenia zgłoszeń. Dane wprowadzane przez użytkownika podczas tworzenia zgłoszenia są włączane do zapytań SQL bez wystarczającej neutralizacji, co pozwala uwierzytelnionemu atakującemu manipulować zapytaniami do bazy danych. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu lub modyfikacji zawartości bazy danych w zależności od uprawnień bazy danych.
- CVE-2026-22195Wysokie
GestSup w wersjach przed 3.2.60 zawiera podatność na wstrzyknięcie SQL w funkcjonalności paska wyszukiwania. Dane wprowadzane przez użytkownika w wyszukiwarce są włączane do zapytań SQL bez wystarczającej neutralizacji, co pozwala uwierzytelnionemu atakującemu manipulować zapytaniami do bazy danych. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu lub modyfikacji zawartości bazy danych w zależności od uprawnień bazy danych.
Oryginalny opis (angielski, źródło NVD)
GestSup versions up to and including 3.2.60 contain a cross-site request forgery (CSRF) vulnerability where the application does not verify the authenticity of client requests. An attacker can induce a logged-in user to submit crafted requests that perform actions with the victim's privileges. This can be exploited to create privileged accounts by targeting the administrative user creation endpoint.