CVE-2026-57953
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w Mythic przed wersją 3.4.0.60 umożliwia uwierzytelnionym użytkownikom z rolą widza (spectator) ominięcie autoryzacji i wykonanie nieautoryzowanych operacji zapisu. Atakujący mogą wykorzystać punkt końcowy eventing_import_automatic_webhook, który jest błędnie skonfigurowany jako dostępny dla roli widza, do tworzenia i usuwania przepływów pracy automatyzacji.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane modyfikacje konfiguracji automatyzacji operacji oraz grup zdarzeń (EventGroups) przez użytkowników o niskich uprawnieniach, co może prowadzić do zakłóceń w działaniu systemu lub eskalacji uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować Mythic do wersji 3.4.0.60 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto przejrzeć konfigurację kontroli dostępu dla punktów końcowych związanych z automatyzacją.
Inne podatności w Mythic
Zobacz wszystkie- CVE-2026-57952Średnie
Mythic przed wersją 3.4.0.60 zawiera podatność na obejście autoryzacji w czterech punktach końcowych REST (c2profile_config_check_webhook, c2profile_redirect_rules_webhook, c2profile_get_ioc_webhook, c2profile_sample_message_webhook), które nie weryfikują własności ładunku. Operator w jednej operacji może wywołać te punkty końcowe ze znanym UUID ładunku z innej operacji, aby uzyskać dostęp do konfiguracji profilu C2 tej operacji, w tym kluczy szyfrowania i parametrów wywołania zwrotnego.
- CVE-2026-57951Średnie
Podatność w Mythic przed wersją 3.4.0.60 wynika z uszkodzonego filtra uprawnień Hasura na tabeli payload_build_step, który zawiera zawsze spełniony warunek _or, omijający kontrolę dostępu opartą na operacjach. Uwierzytelnieni operatorzy i widzowie mogą odczytywać dane z payload_build_step, w tym step_stdout, step_stderr, step_name i step_description, dla wszystkich operacji na serwerze.
Oryginalny opis (angielski, źródło NVD)
Mythic before 3.4.0.60 contains an authorization bypass vulnerability that allows authenticated spectator-role users to perform unauthorized write operations by accessing the eventing_import_automatic_webhook endpoint registered under spectator-permitted middleware. Attackers with spectator role can exploit this misconfigured access control to create and delete automation workflows, making unauthorized modifications to operation automation configuration and EventGroups.