CVE-2026-63099

ŚrednieCVSS 6.5

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Podatność w TheHive do wersji 4.1.24 umożliwia uwierzytelnionym użytkownikom dostęp do załączników innych organizacji poprzez podanie identyfikatora skrótu treści. Brak kontroli autoryzacji na poziomie organizacji w metodzie AttachmentSrv.visible pozwala na ominięcie zabezpieczeń.

Ocena ryzyka

Organizacja narażona jest na wyciek poufnych danych przechowywanych w załącznikach, które mogą być pobrane przez nieuprawnionych użytkowników z innych organizacji.

Rekomendacja

Należy niezwłocznie zaktualizować TheHive do wersji 4.1.25 lub nowszej, która zawiera poprawkę usuwającą lukę w autoryzacji dostępu do załączników.

Inne podatności w TheHive

CVE-2026-63098Średnie
Podatność w TheHive do wersji 4.1.24 umożliwia nieuwierzytelnionym atakującym odczyt wrażliwych danych konfiguracyjnych poprzez wysłanie żądania GET do endpointu /api/status. Brak wymaganego uwierzytelnienia w handlerze StatusCtrl.scala pozwala na ujawnienie m.in. hasła ochrony załączników magazynu danych, skonfigurowanych dostawców uwierzytelniania, ustawień SSO, możliwości MFA oraz adresów i ról węzłów klastra.

Oryginalny opis (angielski, źródło NVD)

TheHive through 4.1.24 contains a broken object-level authorization vulnerability in the attachment download endpoints that allows any authenticated user to access attachments belonging to other organizations by supplying a content-hash identifier. Attackers can exploit the missing organization-scoped authorization check in AttachmentSrv.visible, which is implemented as a pass-through traversal, to download arbitrary attachments.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS