CVE-2026-63338

WysokieCVSS 8.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi na przeglądanie i edycję zasobu należącego do innego użytkownika bez autoryzacji. Ścieżka edycji/aktualizacji klucza API w `ApiKeyController` wybiera rekordy po identyfikatorze bez sprawdzenia zgodności `user_id` z wywołującym. Podatność naprawiono w wersji 7.3.0.

Ocena ryzyka

Użytkownik może uzyskać dostęp do kluczy API innych użytkowników, co umożliwia podszycie się pod nich i wykonanie operacji w ich imieniu. Może to prowadzić do naruszenia poufności i integralności danych w systemie IXP.

Rekomendacja

Zaktualizuj IXP Manager do wersji 7.3.0 lub nowszej. Rozważ rotację kluczy API po wdrożeniu poprawki.

Inne podatności w IXP Manager

CVE-2026-63339Wysokie
IXP Manager przed wersją 7.3.0 pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na podniesienie uprawnień do poziomu administratora. Ograniczenie funkcji administracyjnych zmniejsza ekspozycję, ale nie stanowi pełnego rozwiązania. Podatność naprawiono w wersji 7.3.0.

Oryginalny opis (angielski, źródło NVD)

IXP Manager is a full-stack web application for managing Internet Exchange Points. Prior to version 7.3.0, an authenticated user can view and edit a resource belonging to another user without authorization. The API-key edit/update path in `ApiKeyController` selects records by identifier without checking that `user_id` matches the caller, allowing access to another user's API-key record. This issue is fixed in version 7.3.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS