CVE-2026-42547
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
IRIS to internetowa platforma współpracy pomagająca osobom reagującym na incydenty w udostępnianiu szczegółów technicznych podczas dochodzeń. W wersjach przed 2.4.28 użytkownicy mogą tworzyć alerty dla klientów, którzy nie są im przypisani. Można to nadużyć do fałszywego przypisywania fałszywych alertów klientom. W połączeniu z Cross-Site Scripting (XSS) może to być również wykorzystane do eksfiltracji alertów od innych klientów. Wersja 2.4.28 zawiera łatkę.
Ocena ryzyka
Ryzyko fałszywego przypisywania alertów do klientów oraz potencjalna eksfiltracja danych alertów innych klientów, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj IRIS do wersji 2.4.28 lub nowszej oraz wdróż odpowiednie kontrole dostępu, aby użytkownicy mogli tworzyć alerty tylko dla przypisanych klientów.
Inne podatności w IRIS
Zobacz wszystkie- CVE-2026-18362Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni uwierzytelniania użytkowników przed atakami brute-force.
- CVE-2026-18360Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji atrybutów niestandardowych.
- CVE-2026-16971Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni walidacji MFA przed atakami brute-force.
- CVE-2026-16970Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) zawiera nieskuteczną funkcję wylogowania. Skradzione ciasteczka sesji mogą być długo wykorzystywane.
- CVE-2026-16969Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji aktywów.
- CVE-2026-42543Średnie
Platforma IRIS przed wersją 2.4.28 jest podatna na atak CSRF, ponieważ używa metody HTTP GET do zmiany stanu na serwerze. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu ofiary.
- CVE-2026-42540Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty w udostępnianiu szczegółów technicznych. Wersje przed 2.4.28 umożliwiały użytkownikowi zmianę wartości w bazie danych poprzez manipulację żądaniami API.
- CVE-2026-42539Średnie
IRIS to platforma internetowa wspomagająca wymianę informacji technicznych podczas dochodzeń. Wersje przed 2.4.28 zwracają użytkownikowi wrażliwe dane, które nie są potrzebne do działania klienta. Wersja 2.4.28 zawiera poprawkę.
- CVE-2026-42538Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty. Wersje przed 2.4.28 nie walidują poprawnie przesyłanych plików, co umożliwia wykorzystanie aplikacji do hostowania stron phishingowych oraz stwarza podatność na Cross-Site Scripting (XSS).
- CVE-2026-42329Średnie
Platforma Iris przed wersją 2.4.28 zawiera słabość, która pozwala atakującemu przekierować użytkownika do złośliwej strony internetowej. Jest to podatność na otwarte przekierowanie.
Oryginalny opis (angielski, źródło NVD)
IRIS is a web collaborative platform that helps incident responders share technical details during investigations. In versions prior to 2.4.28, users can create alerts for customers that are not assigned to them. This can be abused to falsely attribute fake alerts to customers. In combination with Cross-Site Scripting, this can also be used to exfiltrate alerts from other customers. Version 2.4.28 contains a patch.