CVE-2026-72543
WysokieCVSS 7.5Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na pobranie dowolnego rekordu kontaktu przez funkcję chmurową getcontact Parse. Funkcja wykonuje się z useMasterKey i nie wykonuje żadnych kontroli uwierzytelnienia ani autoryzacji przed zwróceniem żądanego obiektu kontaktu. Atakujący może enumerować i odczytać wszystkie rekordy kontaktów, w tym dane osobowe, bez poświadczeń.
Ocena ryzyka
Ryzyko obejmuje naruszenie poufności danych osobowych, co może prowadzić do naruszenia RODO i innych regulacji. Może to również narazić organizację na kary finansowe i utratę zaufania.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie uwierzytelnienia i autoryzacji w funkcji getcontact. Należy również przeprowadzić audyt dostępu do danych osobowych.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in OpenSignLabs OpenSign through 2.37.0 allows unauthenticated remote attackers to retrieve any contact record via the getcontact Parse cloud function. The function executes with useMasterKey and performs no authentication or authorization checks before returning the requested contact object. An attacker can enumerate and read all contact records including personally identifiable information without credentials.