CVE-2026-34913
ŚrednieCVSS 4.3Streszczenie
Brak kontroli dostępu przy łączeniu trackerów z kampaniami w skrypcie campaign-trackers.php w Revive Adserver 6.0.6 i wcześniejszych wersjach może pozwolić użytkownikowi o niskich uprawnieniach na powiązanie swoich trackerów z kampaniami należącymi do innych menedżerów w tej samej instancji.
Ocena ryzyka
Może to prowadzić do niespójnych relacji własności, co zagraża integralności danych kampanii reklamowych w organizacji.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Revive Adserver, w której dodano walidację własności, aby zapewnić, że kampanie mogą być łączone tylko z trackerami należącymi do tego samego reklamodawcy.
Inne podatności w Revive Adserver 6.0.6 i wcześniejsze wersje
Zobacz wszystkie- CVE-2026-34915Średnie
Brak sanitizacji danych wejściowych w skrypcie zone-include.php w Revive Adserver 6.0.6 i wcześniejszych wersjach może umożliwić użytkownikowi o niskich uprawnieniach wykorzystanie parametru clientid do przeprowadzenia ataków typu blind SQL injection. Wprowadzono poprawki w sanitizacji danych wejściowych, aby zapewnić prawidłową walidację wszystkich przetwarzanych parametrów.
- CVE-2026-34912Średnie
Brak kontroli dostępu przy łączeniu banerów lub kampanii z strefą w skrypcie zone-include.php Revive Adserver 6.0.6 i wcześniejszych wersjach pozwala na to, że użytkownik o niskich uprawnieniach może połączyć swoje strefy z banerami lub kampaniami należącymi do innych menedżerów w tej samej instancji.
Oryginalny opis (angielski, źródło NVD)
A missing access control check when linking trackers to campaigns through the campaign-trackers.php script of Revive Adserver 6.0.6 and earlier could allow a low‑privileged user to link their trackers to campaigns owned by other managers on the same instance, resulting in inconsistent ownership relationships. Ownership validation has been added to ensure that campaigns can only be linked to trackers owned by the same advertiser.