CVE-2026-5749

Wysokie

Opublikowano: 22/04/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W systemie Fullstep V5 występuje niewystarczająca kontrola dostępu w procesie rejestracji, co może umożliwić nieautoryzowanym użytkownikom uzyskanie ważnego tokena JWT do interakcji z zasobami API wymagającymi uwierzytelnienia.

Ocena ryzyka

Sukcesywne wykorzystanie tej podatności może pozwolić nieautoryzowanemu atakującemu na naruszenie poufności dotkniętego zasobu, pod warunkiem posiadania ważnego tokena do interakcji z API.

Rekomendacja

Zaleca się wprowadzenie odpowiednich mechanizmów kontroli dostępu w procesie rejestracji, aby zapobiec uzyskiwaniu tokenów JWT przez nieautoryzowanych użytkowników.

Inne podatności w Fullstep V5

CVE-2026-5750Wysokie
Podatność IDOR w procesie rejestracji Fullstep V5 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych zarejestrowanych użytkowników poprzez podatne zasoby uwierzytelnione. Podatne punkty końcowe to '/api/suppliers/v1/suppliers//false' do listowania informacji o użytkownikach oraz '/#/supplier-registration/supplier-registration//2' do aktualizacji danych użytkownika.

Oryginalny opis (angielski, źródło NVD)

Inadequate access control in the registration process in Fullstep V5, which could allow unauthenticated users to obtain a valid JWT token with which to interact with authenticated API resources. Successful exploitation of this vulnerability could allow an unauthenticated attacker to compromise the confidentiality of the affected resource, provided they have a valid token with which to interact with the API.