CVE-2026-48900
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Niewłaściwa kontrola dostępu pozwalała użytkownikom z niskimi uprawnieniami na edytowanie typów zadań istniejących zadań harmonogramu.
Ocena ryzyka
Użytkownicy bez odpowiednich uprawnień mogą modyfikować typy zadań, co może prowadzić do nieautoryzowanych zmian w harmonogramie i potencjalnego zakłócenia działania.
Rekomendacja
Zaleca się wdrożenie poprawek dostawcy oraz przegląd i zaostrzenie kontroli dostępu do zarządzania zadaniami harmonogramu.
Inne podatności w userSpice
Zobacz wszystkie- CVE-2018-25350Krytyczne
userSpice 4.3.24 zawiera podatność umożliwiającą enumerację nazw użytkowników. Nieuwierzytelniony atakujący może wysyłać żądania POST do existingUsernameCheck.php i analizować odpowiedź w celu znalezienia istniejących kont.
- CVE-2018-25349Średnie
userSpice 4.3.24 zawiera podatność na cross-site scripting, która pozwala atakującym wstrzykiwać złośliwe skrypty przez nagłówek HTTP X-Forwarded-For. Atakujący mogą wysyłać spreparowane żądania do endpointu backup.php z ładunkiem XSS w nagłówku X-Forwarded-For, który wykonuje się, gdy administratorzy odwiedzają stronę dziennika audytu.
Oryginalny opis (angielski, źródło NVD)
An improper access check allowed low privileged users to edit the task types of existing scheduler tasks.