CVE-2026-72544
WysokieCVSS 7.5Streszczenie
Podatność weryfikacji integralności w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na fałszowanie wpisów w dzienniku audytu dokumentów przez funkcję chmurową triggerevent Parse. Funkcja przyjmuje tożsamość widza i adres IP jako parametry podane przez wywołującego bez uwierzytelnienia, umożliwiając tworzenie dowolnych wpisów w dzienniku audytu. Atakujący może manipulować prawnym dziennikiem audytu dowolnego podpisanego dokumentu, podważając niezaprzeczalność.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności dzienników audytu, co może prowadzić do podważenia ważności podpisów i dokumentów prawnych. Może to również narazić organizację na konsekwencje prawne.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie uwierzytelnienia i autoryzacji w funkcji triggerevent. Należy również monitorować dzienniki audytu pod kątem nieautoryzowanych wpisów.
Oryginalny opis (angielski, źródło NVD)
An integrity verification vulnerability in OpenSignLabs OpenSign through 2.37.0 allows unauthenticated remote attackers to forge document audit-trail entries via the triggerevent Parse cloud function. The function accepts viewer identity and IP address as caller-supplied parameters without authentication, allowing fabrication of arbitrary audit log entries. An attacker can tamper with the legal audit trail of any signed document, undermining non-repudiation.