CVE-2026-34912
ŚrednieCVSS 4.3Streszczenie
Brak kontroli dostępu przy łączeniu banerów lub kampanii z strefą w skrypcie zone-include.php Revive Adserver 6.0.6 i wcześniejszych wersjach pozwala na to, że użytkownik o niskich uprawnieniach może połączyć swoje strefy z banerami lub kampaniami należącymi do innych menedżerów w tej samej instancji.
Ocena ryzyka
To może prowadzić do niespójnych relacji własności, co zagraża integralności danych i może wpłynąć na zarządzanie kampaniami reklamowymi.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Revive Adserver, w której dodano walidację własności, aby zapewnić, że banery i kampanie mogą być łączone tylko ze strefami zarządzanymi przez to samo konto.
Inne podatności w Revive Adserver 6.0.6 i wcześniejsze wersje
Zobacz wszystkie- CVE-2026-34915Średnie
Brak sanitizacji danych wejściowych w skrypcie zone-include.php w Revive Adserver 6.0.6 i wcześniejszych wersjach może umożliwić użytkownikowi o niskich uprawnieniach wykorzystanie parametru clientid do przeprowadzenia ataków typu blind SQL injection. Wprowadzono poprawki w sanitizacji danych wejściowych, aby zapewnić prawidłową walidację wszystkich przetwarzanych parametrów.
- CVE-2026-34913Średnie
Brak kontroli dostępu przy łączeniu trackerów z kampaniami w skrypcie campaign-trackers.php w Revive Adserver 6.0.6 i wcześniejszych wersjach może pozwolić użytkownikowi o niskich uprawnieniach na powiązanie swoich trackerów z kampaniami należącymi do innych menedżerów w tej samej instancji.
Oryginalny opis (angielski, źródło NVD)
A missing access control check when linking banners or campaigns to a zone through the zone-include.php script of Revive Adserver 6.0.6 and earlier, or via its API allows a low‑privileged user could link their zones to banners or campaigns owned by other managers on the same instance, resulting in inconsistent ownership relationships. Ownership validation has been added to ensure that banners and campaigns can only be linked to zones managed by the same account.