CVE-2026-36721
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Brak weryfikacji podpisu kryptograficznego w funkcji validateAccessToken w bookcars v8.3 umożliwia atakującym ominięcie uwierzytelniania za pomocą sfałszowanego tokena JWT.
Ocena ryzyka
Atakujący może podszyć się pod dowolnego użytkownika, uzyskując nieautoryzowany dostęp do funkcji aplikacji i danych.
Rekomendacja
Należy zaktualizować bookcars do wersji, w której poprawiono weryfikację podpisu tokena JWT.
Inne podatności w bookcars
Zobacz wszystkie- CVE-2026-36727Krytyczne
Niebezpieczna podatność uwierzytelniania w endpointcie /api/social-sign-in aplikacji bookcars v8.3. Atakujący może ominąć uwierzytelnianie, używając sfałszowanego tokena JWT.
- CVE-2026-36726Średnie
Endpoint /api/delete-temp-license/{file} w bookcars v8.3 pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików poprzez sekwencje przejścia do katalogu nadrzędnego (directory traversal).
- CVE-2026-36723Wysokie
Nieograniczona podatność na zmianę nazwy pliku w komponencie /api/create-user aplikacji bookcars v8.3. Uwierzytelnieni atakujący mogą przenosić pliki z tymczasowego magazynu do dowolnych lokalizacji na serwerze, co umożliwia dostęp do wrażliwych plików, nadpisywanie krytycznych plików i zdalne wykonanie kodu.
- CVE-2026-36722Średnie
Podatność na uwierzytelnione dowolne przesyłanie plików w komponencie /api/create-car-image w bookcars v8.3 pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2026-36720Wysokie
Podatność w bookcars v8.3 związana z niebezpiecznymi uprawnieniami umożliwia uwierzytelnionym atakującym eskalację uprawnień z użytkownika do administratora poprzez modyfikację swojego typu użytkownika.
Oryginalny opis (angielski, źródło NVD)
A lack of cryptographic signature verification in the validateAccessToken function of bookcars v8.3 allows attackers to bypass authentication via a forged JWT token.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS