CVE-2026-57469
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wykryto podatność CWE-352 (CSRF) w webowym backendzie konfiguracyjnym KUNBUS PiCtory w wersji 2.16.0. Zdalny nieuwierzytelniony atakujący może wykonywać operacje zmieniające stan w kontekście uwierzytelnionego operatora, w tym usuwanie plików projektów i konfiguracji oraz resetowanie środowiska uruchomieniowego, poprzez nakłonienie przeglądarki ofiary do wysłania spreparowanych żądań.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania nieautoryzowanych operacji w kontekście uwierzytelnionego operatora, co może prowadzić do utraty danych i przerwania działania systemu.
Rekomendacja
Zaleca się zaktualizowanie PiCtory do najnowszej wersji oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF.
Oryginalny opis (angielski, źródło NVD)
Nozomi Networks Labs identified a CWE-352: Cross-Site Request Forgery (CSRF) vulnerability in the web-based configuration backend of KUNBUS PiCtory in version 2.16.0 that allows a remote unauthenticated attacker to perform state-changing operations in the context of an authenticated operator, including deletion of project and configuration files and reset of the control runtime, by inducing the victim's browser to submit crafted requests.