CVE-2026-41522

WysokieCVSS 7.1

Opublikowano: 04/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Iris (DFIR-IRIS) przed wersją 2.4.28 udostępnia opcjonalny endpoint GraphQL `/graphql` bez odpowiednich kontroli autoryzacji. Uwierzytelniony użytkownik może odczytać IOCs z innych spraw (IDOR), ujawnić wszystkie IOCs w sprawie oraz tworzyć nowe sprawy bez uprawnień.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych (IOCs) z innych spraw oraz tworzyć nieautoryzowane sprawy, co narusza poufność i integralność platformy.

Rekomendacja

Zaktualizuj DFIR-IRIS do wersji 2.4.28 lub zablokuj endpoint `/graphql` na reverse proxy.

Inne podatności w DFIR-IRIS

CVE-2026-22783Krytyczne
Podatność w DFIR-IRIS (platforma Iris) przed wersją 2.4.24: masowe przypisanie pola file_local_name w połączeniu z zaufaniem do ścieżki w operacji usuwania umożliwia uwierzytelnionym użytkownikom usuwanie dowolnych ścieżek w systemie plików.

Oryginalny opis (angielski, źródło NVD)

Iris is a web collaborative platform that helps incident responders share technical details during investigations. Prior to version 2.4.28, DFIR-IRIS exposes an optional GraphQL endpoint at `/graphql` that does not enforce the same authorization checks as the REST API. Any authenticated user can abuse it in three ways: unauthorized IOC read across cases (IDOR), bulk IOC disclosure via `case.iocs`. The `case(caseId: …).iocs` resolver returns IOCs linked to an arbitrary case without verifying the caller has access to that case, and unauthorized case creation. All three are reachable by any authenticated user, regardless of role or case ACL. This is fixed in v2.4.28. The GraphQL blueprint, resolvers, and dependencies (`graphene`, `graphene-sqlalchemy`, `graphql-server[flask]`) were removed entirely, since the feature was not in use. As a workaround, block `/graphql` at the reverse proxy (recommended) or comment out the `graphql_blueprint` import and `register_blueprint` call in `source/app/views.py` and restart.