CVE-2026-48248
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Open ISES Tickets przed wersją 3.44.2 wyłącza weryfikację certyfikatu TLS w pliku incs/login.inc.php, ustawiając CURLOPT_SSL_VERIFYPEER na false. Atakujący w sieci między serwerem a zdalnym punktem końcowym może przedstawić sfałszowany certyfikat i przechwycić dane uwierzytelniające.
Ocena ryzyka
Organizacja narażona jest na atak typu man-in-the-middle, który może prowadzić do przechwycenia kluczy API i danych sesji podczas procesu logowania.
Rekomendacja
Zaleca się natychmiastową aktualizację Open ISES Tickets do wersji 3.44.2 lub nowszej, która przywraca prawidłową weryfikację certyfikatów TLS.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 disables TLS certificate verification in incs/login.inc.php by setting CURLOPT_SSL_VERIFYPEER to false (and not setting CURLOPT_SSL_VERIFYHOST) when issuing outbound HTTPS requests issued during the login/authentication flow. An attacker positioned on the network path between the server and the remote endpoint can present a forged certificate to intercept, monitor, or modify the request and response, including any API keys or session-bearing data in transit.