CVE-2026-66248
NiskieCVSS 3.1Streszczenie
iControl jest dotknięty podatnością związaną z nieprawidłową obsługą błędów, która może pozwolić nieuwierzytelnionemu atakującemu na wywołanie szczegółowych błędów bazy danych i systemu, umożliwiając ujawnienie wrażliwych szczegółów infrastruktury wewnętrznej wykorzystywanych do planowania zaawansowanych ataków.
Ocena ryzyka
Ujawnienie szczegółów infrastruktury wewnętrznej może ułatwić atakującemu przeprowadzenie ukierunkowanych ataków na systemy organizacji. Może to prowadzić do naruszenia bezpieczeństwa danych i zakłócenia działania aplikacji.
Rekomendacja
Skonfiguruj aplikację iControl tak, aby nie wyświetlała szczegółowych komunikatów o błędach użytkownikom. Zastosuj ogólne komunikaty błędów i loguj szczegóły wyłącznie w bezpiecznych dziennikach serwerowych.
Inne podatności w iControl
Zobacz wszystkie- CVE-2026-66253Niskie
iControl jest dotknięty podatnością związaną z limitem czasu sesji, która może pozwolić atakującemu na wykorzystanie nieobsługiwanej lub porzuconej aktywnej sesji, umożliwiając nieautoryzowany dostęp do aplikacji i wykonywanie działań w imieniu ofiary.
- CVE-2026-66249Niskie
iControl jest dotknięty podatnością związaną z brakującym atrybutem bezpieczeństwa, która może pozwolić atakującemu na przechwycenie ciasteczek przesyłanych przez niezaszyfrowane połączenia HTTP, umożliwiając nieautoryzowane wyodrębnienie wrażliwych informacji, takich jak identyfikatory sesji.
- CVE-2026-66247Średnie
iControl ma niebezpieczną politykę CORS, która pozwala złośliwej stronie na wykonywanie żądań między domenami z dołączonymi poświadczeniami. Atakujący może uzyskać dostęp do wrażliwych danych i je wykraść w kontekście aktywnej sesji ofiary.
- CVE-2026-66246Wysokie
iControl zawiera podatność typu Broken Access Control, która umożliwia atakującemu wykorzystanie brakujących kontroli uwierzytelniania lub niezabezpieczonych bezpośrednich odwołań do obiektów (IDOR). Pozwala to na eskalację uprawnień oraz nieautoryzowaną modyfikację lub usunięcie danych wrażliwych aplikacji.
Oryginalny opis (angielski, źródło NVD)
iControl is affected by an Improper Error Handling vulnerability, which could allow an unauthenticated attacker to trigger verbose database and system errors, enabling the disclosure of sensitive internal infrastructure details used to plan advanced targeted attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS