CVE-2026-72549
ŚrednieCVSS 5.3Streszczenie
Podatność na ujawnienie informacji w OpenSignLabs OpenSign do wersji 2.37.0 pozwala nieuwierzytelnionym zdalnym atakującym na mapowanie dowolnego adresu e-mail lub nazwy użytkownika na wewnętrzny identyfikator obiektu (objectId) przez funkcję chmurową Parse getUserId. Funkcja nie wykonuje uwierzytelnienia przed zwróceniem identyfikatora. Atakujący może wykorzystać to do enumeracji kont i przeprowadzenia dalszych ataków.
Ocena ryzyka
Enumeracja kont ułatwia ataki ukierunkowane, takie jak phishing lub próby przejęcia kont.
Rekomendacja
Zaktualizuj OpenSign do wersji, która wymaga uwierzytelnienia w funkcji getUserId.
Oryginalny opis (angielski, źródło NVD)
An information disclosure vulnerability in OpenSignLabs OpenSign through 2.37.0 allows unauthenticated remote attackers to map any email address or username to its internal user objectId via the getUserId Parse cloud function. The function performs no authentication before resolving and returning the internal identifier. An attacker can use this to enumerate user accounts and target subsequent attacks.