CVE-2026-72564
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej autoryzacji w fosrl/pangolin do wersji v1.20.0 pozwala uwierzytelnionemu zdalnemu atakującemu na uwierzytelnienie do dowolnego zasobu w dowolnej organizacji poprzez ponowne użycie tokenu dostępu wydanego dla innego zasobu.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do zasobów innych organizacji, co może prowadzić do naruszenia izolacji między organizacjami i wycieku danych.
Rekomendacja
Zaleca się aktualizację pangolin do wersji z poprawką oraz wdrożenie mechanizmów wiązania tokenów z konkretnymi zasobami.
Inne podatności w pangolin
Zobacz wszystkie- CVE-2025-56332Krytyczne
Podatność w fosrl/pangolin w wersji 1.6.2 i wcześniejszych pozwala na ominięcie uwierzytelnienia. Atakujący mogą uzyskać dostęp do zasobów Pangolin z powodu niebezpiecznej domyślnej konfiguracji.
- CVE-2025-56333Krytyczne
Problem w Fossorial fosrl/pangolin w wersji 1.6.2 i wcześniejszych pozwala zdalnemu atakującemu na eskalację uprawnień poprzez komponent 2FA.
- CVE-2026-72001Wysokie
Pangolin przed wersją 1.22.0 zawiera podatność na obejście uwierzytelnienia, która pozwala nieuwierzytelnionym atakującym na dostęp do dowolnego chronionego zasobu poprzez podanie kontrolowanego przez atakującego parametru URL do punktu końcowego uwierzytelniania linków udostępniania, który pomija oczekiwany identyfikator zasobu w wywołaniu weryfikacji tokena. Atakujący posiadający pojedynczy ważny link udostępniania do dowolnego zasobu może uwierzytelnić się w dowolnych zasobach w różnych organizacjach, omijając wszystkie skonfigurowane metody uwierzytelniania, w tym SSO, hasła zasobów, kody PIN, listy dozwolonych adresów e-mail i uwierzytelnianie nagłówków.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in fosrl/pangolin through v1.20.0 allows an authenticated remote attacker to authenticate to any resource in any organization by reusing an access token issued for a different resource.