CVE-2026-72545
WysokieCVSS 7.5Streszczenie
Podatność niebezpiecznego bezpośredniego odwołania do obiektu w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na zapis do dowolnego rekordu kontaktu przez funkcję chmurową updatecontacttour Parse. Funkcja nie wykonuje żadnego uwierzytelnienia ani autoryzacji przed aktualizacją docelowego rekordu kontaktu. Atakujący może uszkodzić lub nadpisać dane kontaktowe dowolnego użytkownika w systemie bez poświadczeń.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych kontaktowych, co może prowadzić do manipulacji danymi użytkowników i potencjalnych ataków socjotechnicznych. Może to również naruszyć zaufanie do systemu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub dodanie uwierzytelnienia i autoryzacji w funkcji updatecontacttour. Należy również przeprowadzić audyt danych kontaktowych.
Oryginalny opis (angielski, źródło NVD)
An insecure direct object reference vulnerability in OpenSignLabs OpenSign through 2.37.0 allows unauthenticated remote attackers to write to any contact record via the updatecontacttour Parse cloud function. The function performs no authentication or authorization before updating the target contact record. An attacker can corrupt or overwrite contact data for any user in the system without credentials.