CVE-2026-5781

Wysokie

Opublikowano: 28/04/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W podatności w MphRx Minerva V3.6.0, w punkcie końcowym '/minerva/moUser/update', uwierzytelniony użytkownik z uprawnieniami do modyfikacji użytkowników może eskalować swoje uprawnienia poprzez manipulację polem 'identifier' w żądaniu HTTP. Sukces w wykorzystaniu tej podatności może umożliwić uzyskanie uprawnień administratora.

Ocena ryzyka

Eskalacja uprawnień przez uwierzytelnionego użytkownika może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i funkcji administracyjnych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się ograniczenie dostępu do punktu końcowego '/minerva/moUser/update' oraz wprowadzenie dodatkowych mechanizmów weryfikacji uprawnień użytkowników przed wykonaniem operacji modyfikacji.

Inne podatności w MphRx Minerva V3.6.0

CVE-2026-5779Wysokie
W podatności IDOR w MphRx Minerva V3.6.0, w punkcie końcowym '/minerva/user/updateUserProfile', uwierzytelniony użytkownik może modyfikować informacje innych zarejestrowanych użytkowników. Wykorzystanie tej podatności umożliwia zmianę danych, takich jak adres e-mail, oraz żądanie nowego hasła.

Oryginalny opis (angielski, źródło NVD)

An authorization vulnerability in MphRx's Minerva V3.6.0, specifically in the '/minerva/moUser/update' endpoint, could allow an authenticated user with user modification privileges to escalate their privileges by sending an HTTP request with a manipulated 'identifier' field. Successful exploitation of this vulnerability could allow an authenticated user to obtain administrator privileges. It is not possible to escalate privileges through the graphical user interface.