CVE-2026-5750

Wysokie

Opublikowano: 22/04/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność IDOR w procesie rejestracji Fullstep V5 umożliwia uwierzytelnionym użytkownikom dostęp do danych innych zarejestrowanych użytkowników poprzez podatne zasoby uwierzytelnione. Podatne punkty końcowe to '/api/suppliers/v1/suppliers//false' do listowania informacji o użytkownikach oraz '/#/supplier-registration/supplier-registration//2' do aktualizacji danych użytkownika.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do danych osobowych i dokumentów innych użytkowników, co może prowadzić do naruszenia prywatności i wycieku wrażliwych informacji.

Rekomendacja

Zaleca się natychmiastowe wdrożenie poprawek od producenta oraz przeprowadzenie audytu kontroli dostępu w celu wyeliminowania podatności IDOR. Należy również ograniczyć dostęp do podatnych punktów końcowych.

Inne podatności w Fullstep V5

CVE-2026-5749Wysokie
W systemie Fullstep V5 występuje niewystarczająca kontrola dostępu w procesie rejestracji, co może umożliwić nieautoryzowanym użytkownikom uzyskanie ważnego tokena JWT do interakcji z zasobami API wymagającymi uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

An insecure direct object reference (IDOR) vulnerability in the Fullstep V5 registration process allows authenticated users to access data belonging to other registered users through various vulnerable authenticated resources in the application. The vulnerable endpoints result from: '/api/suppliers/v1/suppliers//false' to list user information; and '/#/supplier-registration/supplier-registration//2' to update your user information (personal details, documents, etc.).