CVE-2026-27553

ŚrednieCVSS 6.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 19/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

Zdalny atakujący z niskimi uprawnieniami może manipulować parametrem schema path w punkcie końcowym /index.php/diagnostics_tab/ajax_diag_table_rows przy użyciu ważnego cookie użytkownika, co umożliwia ujawnienie wszystkich skrótów haseł użytkowników.

Ocena ryzyka

Ryzyko polega na ujawnieniu skrótów haseł wszystkich użytkowników, co może prowadzić do przejęcia kont i dalszych ataków.

Rekomendacja

Zaleca się natychmiastową walidację parametru schema path oraz ograniczenie dostępu do punktu końcowego tylko dla uprawnionych użytkowników.

Inne podatności w Unknown (likely a web application)

CVE-2026-11764Niskie
Podczas eksportu wszystkich nośników wielokrotnego użytku, sekrety powiązanych kart podarunkowych były dołączane do eksportu, nawet jeśli użytkownik nie miał uprawnień do ich przeglądania. Pozwala to na ominięcie granicy uprawnień.

Oryginalny opis (angielski, źródło NVD)

A low-privileged remote attacker can manipulate the schema path parameter in the /index.php/diagnostics_tab/ajax_diag_table_rows endpoint using a valid user cookie allowing disclosure of all user password hashes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS