CVE-2026-57870
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W MicroRealEstate wykryto podatność polegającą na uszkodzonej kontroli dostępu na poziomie obiektu w API szablonów. Umożliwia ona atakującym pobieranie szablonów dokumentów używanych przez inne organizacje bez autoryzacji.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do poufnych szablonów dokumentów innych organizacji, co może prowadzić do wycieku danych biznesowych i naruszenia poufności.
Rekomendacja
Należy natychmiast zaktualizować MicroRealEstate do najnowszej wersji po 1.0.0-alpha3 oraz wdrożyć mechanizmy kontroli dostępu na poziomie obiektu dla API szablonów.
Inne podatności w MicroRealEstate
Zobacz wszystkie- CVE-2026-57871Wysokie
Podatność polegająca na przechodzeniu do ścieżek względnych w funkcji przesyłania plików w MicroRealEstate umożliwia potencjalne nadpisywanie plików systemowych przez atakujących. Problem dotyczy wersji do 1.0.0-alpha3 włącznie.
- CVE-2026-57869Wysokie
Podatność w MicroRealEstate wynika z uszkodzonych kontroli dostępu na poziomie obiektu oraz użycia deterministycznego wzorca podczas generowania losowych identyfikatorów. Umożliwia to atakującym nieautoryzowany dostęp do dokumentów przesłanych przez wynajmujących lub najemców.
- CVE-2026-57868Wysokie
Podatność w MicroRealEstate umożliwia nieautoryzowany dostęp do obiektów poprzez funkcję generowania PDF. Problem dotyczy wersji do 1.0.0-alpha3 włącznie.
- CVE-2026-57867Wysokie
Podatność w MicroRealEstate umożliwia atakującym ominięcie uwierzytelniania z powodu braku zarządzania stanem tokenów. Pozwala to na brute-force jednorazowych haseł (OTP) i zalogowanie się jako dowolny użytkownik.
Oryginalny opis (angielski, źródło NVD)
Broken object-level access control on the Template API in MicroRealEstate allows attackers to retrieve document templates used by other organizations without authorization. This issue affects MicroRealEstate: through 1.0.0-alpha3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS