CVE-2026-67403

KrytyczneCVSS 9.0

Opublikowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Streszczenie

Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Niewystarczające sprawdzanie uprawnień na poziomie dzierżawy (tenant) pozwala uwierzytelnionym użytkownikom na dostęp do zasobów administracyjnych należących do innych dzierżawców poprzez podanie ważnego, nieprzewidywalnego identyfikatora dzierżawy.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do danych i funkcji administracyjnych innych dzierżawców, co narusza izolację między dzierżawcami i może prowadzić do wycieku danych.

Rekomendacja

Należy zaktualizować system Cash Collect do wersji z poprawką autoryzacji na poziomie dzierżawy. Dodatkowo należy wzmocnić mechanizmy kontroli dostępu i regularnie audytować uprawnienia.

Inne podatności w Cash Collect

CVE-2026-68484Krytyczne
Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Funkcje administracyjne nie weryfikują poprawnie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na tworzenie kont administratora i uzyskiwanie podwyższonych uprawnień.

Oryginalny opis (angielski, źródło NVD)

Cash Collect contains an improper authorization vulnerability in the Sage AR Automation API. Insufficient tenant-level authorization checks allow authenticated users to access administrative resources belonging to other tenants by specifying a valid non predictable tenant identifier.