CVE-2026-53903
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność IDOR w endpointcie /customer/servlet/mco/webapi/trading-document/fetchPdfStatement umożliwia nieautoryzowany dostęp do dokumentów handlowych innych użytkowników. Brak walidacji uprawnień pozwala na odczyt dokumentów na podstawie identyfikatora, który może być łatwo odgadnięty.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia poufnych dokumentów handlowych, takich jak wyciągi PDF, co może prowadzić do wycieku danych finansowych i naruszenia prywatności klientów.
Rekomendacja
Należy natychmiast zaimplementować mechanizm autoryzacji sprawdzający, czy uwierzytelniony użytkownik ma prawo dostępu do żądanego dokumentu. Zaleca się również aktualizację do najnowszej wersji MCO po jej wydaniu.
Inne podatności w MCO
Zobacz wszystkie- CVE-2026-53909Średnie
Podatność w MCO polega na braku walidacji typów przesyłanych plików po stronie serwera. Walidacja opiera się wyłącznie na kontroli po stronie klienta, co może zostać ominięte. Uwierzytelniony atakujący z niskimi uprawnieniami może przesłać pliki dowolnego typu na serwer.
- CVE-2026-53908Średnie
Podatność MCO na enumerację użytkowników poprzez funkcje związane z uwierzytelnianiem. Aplikacja zwraca różne odpowiedzi dla prawidłowych i nieprawidłowych użytkowników podczas operacji przypominania nazwy użytkownika i resetowania hasła, co umożliwia atakującemu wyliczenie prawidłowych nazw użytkowników i adresów e-mail.
- CVE-2026-53907Średnie
Podatność Stored Cross‑Site Scripting (XSS) w MCO umożliwia atakującemu przesłanie złośliwego pliku SVG jako logo aplikacji. Kod JavaScript wykonuje się podczas renderowania lub otwierania logo.
- CVE-2026-53906Wysokie
Podatność w MCO umożliwia ujawnienie ścieżki i traversal ścieżki w funkcjonalności obsługi plików związanej z eksportem i przesyłaniem danych. Niewłaściwa walidacja parametru nazwy pliku pozwala na zapisywanie plików w dowolnych lokalizacjach oraz pośrednie ujawnienie absolutnych ścieżek serwera poprzez komunikaty błędów.
- CVE-2026-53905Wysokie
Podatność w MCO pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na dostęp do struktury kontroli dostępu administratora przez endpoint /customer/servlet/mco/webapi/admin-view-hierarchy/get-acl-tree-structure. Brak odpowiedniej autoryzacji może ujawnić poufne mapowania uprawnień i szczegóły konfiguracji wewnętrznej.
- CVE-2026-53904Wysokie
Podatność w systemie MCO umożliwia atakującemu zablokowanie konta ofiary poprzez wielokrotne resetowanie hasła. Każde żądanie resetu unieważnia poprzednie hasło i tymczasowe hasła, a liczba resetów nie jest ograniczona. Atakujący, znając adres e-mail i odpowiedź na pytanie zabezpieczające, może skutecznie uniemożliwić ofierze dostęp do konta.
- CVE-2026-53902Średnie
Podatność w MCO pozwala uwierzytelnionemu użytkownikowi na modyfikację członkostwa w grupach bez odpowiedniej autoryzacji, co umożliwia eskalację uprawnień. Atakujący może dodać się do dowolnej grupy, podając prawidłowy identyfikator grupy, który może uzyskać z innych funkcji aplikacji lub odgadnąć metodą brute-force.
Oryginalny opis (angielski, źródło NVD)
MCO is vulnerable to an Insecure Direct Object Reference (IDOR) vulnerability in the /customer/servlet/mco/webapi/trading-document/fetchPdfStatement endpoint. The application does not properly validate whether an authenticated user is authorized to access a requested document, allowing direct retrieval based on a user-supplied identifier. An attacker can access trading documents belonging to other users by providing a valid document ID. Although exploitation requires guessing the identifier, predictable ID patterns enable feasible enumeration, leading to unauthorized disclosure of sensitive information. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 25.3.3.1 but may also affect other versions.