CVE-2026-53902
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w MCO pozwala uwierzytelnionemu użytkownikowi na modyfikację członkostwa w grupach bez odpowiedniej autoryzacji, co umożliwia eskalację uprawnień. Atakujący może dodać się do dowolnej grupy, podając prawidłowy identyfikator grupy, który może uzyskać z innych funkcji aplikacji lub odgadnąć metodą brute-force.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego podniesienia uprawnień przez atakującego, co może prowadzić do uzyskania dostępu do wrażliwych danych lub funkcji systemu, a także naruszenia integralności i poufności informacji.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawek bezpieczeństwa od producenta, jeśli są dostępne, lub wdrożenie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do endpointu /customer/servlet/mco/webapi/profile-sections/group-membership oraz wzmocnienie kontroli autoryzacji.
Inne podatności w MCO
Zobacz wszystkie- CVE-2026-53909Średnie
Podatność w MCO polega na braku walidacji typów przesyłanych plików po stronie serwera. Walidacja opiera się wyłącznie na kontroli po stronie klienta, co może zostać ominięte. Uwierzytelniony atakujący z niskimi uprawnieniami może przesłać pliki dowolnego typu na serwer.
- CVE-2026-53908Średnie
Podatność MCO na enumerację użytkowników poprzez funkcje związane z uwierzytelnianiem. Aplikacja zwraca różne odpowiedzi dla prawidłowych i nieprawidłowych użytkowników podczas operacji przypominania nazwy użytkownika i resetowania hasła, co umożliwia atakującemu wyliczenie prawidłowych nazw użytkowników i adresów e-mail.
- CVE-2026-53907Średnie
Podatność Stored Cross‑Site Scripting (XSS) w MCO umożliwia atakującemu przesłanie złośliwego pliku SVG jako logo aplikacji. Kod JavaScript wykonuje się podczas renderowania lub otwierania logo.
- CVE-2026-53906Wysokie
Podatność w MCO umożliwia ujawnienie ścieżki i traversal ścieżki w funkcjonalności obsługi plików związanej z eksportem i przesyłaniem danych. Niewłaściwa walidacja parametru nazwy pliku pozwala na zapisywanie plików w dowolnych lokalizacjach oraz pośrednie ujawnienie absolutnych ścieżek serwera poprzez komunikaty błędów.
- CVE-2026-53905Wysokie
Podatność w MCO pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na dostęp do struktury kontroli dostępu administratora przez endpoint /customer/servlet/mco/webapi/admin-view-hierarchy/get-acl-tree-structure. Brak odpowiedniej autoryzacji może ujawnić poufne mapowania uprawnień i szczegóły konfiguracji wewnętrznej.
- CVE-2026-53904Wysokie
Podatność w systemie MCO umożliwia atakującemu zablokowanie konta ofiary poprzez wielokrotne resetowanie hasła. Każde żądanie resetu unieważnia poprzednie hasło i tymczasowe hasła, a liczba resetów nie jest ograniczona. Atakujący, znając adres e-mail i odpowiedź na pytanie zabezpieczające, może skutecznie uniemożliwić ofierze dostęp do konta.
- CVE-2026-53903Wysokie
Podatność IDOR w endpointcie /customer/servlet/mco/webapi/trading-document/fetchPdfStatement umożliwia nieautoryzowany dostęp do dokumentów handlowych innych użytkowników. Brak walidacji uprawnień pozwala na odczyt dokumentów na podstawie identyfikatora, który może być łatwo odgadnięty.
Oryginalny opis (angielski, źródło NVD)
MCO does not properly enforce authorization checks in the /customer/servlet/mco/webapi/profile-sections/group-membership endpoint. An authenticated user can modify their group membership without proper authorization checks, allowing privilege escalation. An attacker can add themselves to arbitrary groups by supplying a valid group ID, which can be obtained via other application functionalities (e.g. /customer/servlet/mco/webapi/group/picker/groups), provided he has necessary permissions, or potentially inferred through brute-force techniques. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 25.3.3.1 but may also affect other versions.