CVE-2026-5599
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w systemie venueless pozwala użytkownikowi z dostępem API i uprawnieniem 'manage users' w dowolnym świecie na wywołanie usunięcia kont użytkowników w innych światach.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym usuwaniu kont użytkowników w różnych światach, co może prowadzić do utraty dostępu do danych i zakłócenia działania organizacji.
Rekomendacja
Należy natychmiast ograniczyć uprawnienia 'manage users' tylko do niezbędnych światów oraz zaktualizować system venueless do najnowszej wersji zawierającej poprawkę.
Inne podatności w venueless
Zobacz wszystkie- CVE-2026-4982Wysokie
Użytkownik z uprawnieniem "update world" w dowolnym świecie Venueless może wyeksfiltrować wiadomości czatu z bezpośrednich wiadomości lub kanałów w innych światach na tym samym serwerze z powodu błędu w funkcji raportowania. Wykorzystanie jest ograniczone koniecznością znajomości wewnętrznego UUID kanału.
- CVE-2026-82838Średnie
Domyślny obraz Dockera dla Venueless nie zapewniał, że przesłane pliki SVG nie będą zawierać wykonywalnego kodu JavaScript. Obecnie ustawiono prawidłową politykę bezpieczeństwa treści (CSP).
Oryginalny opis (angielski, źródło NVD)
A user with API access and "manage users" permission in any venueless world is able to trigger deletion of user accounts in other worlds.