CVE-2026-42539
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
IRIS to platforma internetowa wspomagająca wymianę informacji technicznych podczas dochodzeń. Wersje przed 2.4.28 zwracają użytkownikowi wrażliwe dane, które nie są potrzebne do działania klienta. Wersja 2.4.28 zawiera poprawkę.
Ocena ryzyka
Niepotrzebne ujawnianie wrażliwych danych może prowadzić do wycieku informacji o incydentach lub danych śledczych, co narusza poufność.
Rekomendacja
Zaktualizuj IRIS do wersji 2.4.28 lub nowszej.
Inne podatności w IRIS
Zobacz wszystkie- CVE-2026-18362Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni uwierzytelniania użytkowników przed atakami brute-force.
- CVE-2026-18360Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji atrybutów niestandardowych.
- CVE-2026-16971Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni walidacji MFA przed atakami brute-force.
- CVE-2026-16970Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) zawiera nieskuteczną funkcję wylogowania. Skradzione ciasteczka sesji mogą być długo wykorzystywane.
- CVE-2026-16969Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji aktywów.
- CVE-2026-42547Średnie
IRIS to internetowa platforma współpracy pomagająca osobom reagującym na incydenty w udostępnianiu szczegółów technicznych podczas dochodzeń. W wersjach przed 2.4.28 użytkownicy mogą tworzyć alerty dla klientów, którzy nie są im przypisani. Można to nadużyć do fałszywego przypisywania fałszywych alertów klientom. W połączeniu z Cross-Site Scripting (XSS) może to być również wykorzystane do eksfiltracji alertów od innych klientów. Wersja 2.4.28 zawiera łatkę.
- CVE-2026-42543Średnie
Platforma IRIS przed wersją 2.4.28 jest podatna na atak CSRF, ponieważ używa metody HTTP GET do zmiany stanu na serwerze. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu ofiary.
- CVE-2026-42540Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty w udostępnianiu szczegółów technicznych. Wersje przed 2.4.28 umożliwiały użytkownikowi zmianę wartości w bazie danych poprzez manipulację żądaniami API.
- CVE-2026-42538Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty. Wersje przed 2.4.28 nie walidują poprawnie przesyłanych plików, co umożliwia wykorzystanie aplikacji do hostowania stron phishingowych oraz stwarza podatność na Cross-Site Scripting (XSS).
- CVE-2026-42329Średnie
Platforma Iris przed wersją 2.4.28 zawiera słabość, która pozwala atakującemu przekierować użytkownika do złośliwej strony internetowej. Jest to podatność na otwarte przekierowanie.
Oryginalny opis (angielski, źródło NVD)
IRIS is a web collaborative platform that helps incident responders share technical details during investigations. Versions prior to 2.4.28 return sensitive data to the user which are not required for the client’s operation. Version 2.4.28 contains a patch.