CVE-2026-68484

KrytyczneCVSS 9.0

Opublikowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Streszczenie

Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Funkcje administracyjne nie weryfikują poprawnie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na tworzenie kont administratora i uzyskiwanie podwyższonych uprawnień.

Ocena ryzyka

Uwierzytelniony użytkownik o niskich uprawnieniach może eskalować swoje uprawnienia do poziomu administratora, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i funkcji systemu.

Rekomendacja

Należy zaktualizować system Cash Collect do wersji, która zawiera poprawkę autoryzacji. Dodatkowo należy przeprowadzić audyt uprawnień i ograniczyć dostęp do funkcji administracyjnych.

Inne podatności w Cash Collect

CVE-2026-67403Krytyczne
Cash Collect zawiera podatność niewłaściwej autoryzacji w API Sage AR Automation. Niewystarczające sprawdzanie uprawnień na poziomie dzierżawy (tenant) pozwala uwierzytelnionym użytkownikom na dostęp do zasobów administracyjnych należących do innych dzierżawców poprzez podanie ważnego, nieprzewidywalnego identyfikatora dzierżawy.

Oryginalny opis (angielski, źródło NVD)

Cash Collect contains an improper authorization vulnerability in the Sage AR Automation API. Administrative functions do not properly verify user privileges, allowing authenticated low-privileged users to create administrator accounts and obtain elevated privileges.