CVE-2026-72600
WysokieCVSS 7.5Streszczenie
Podatność w Idurar IDURAR ERP CRM 4.1.0 pozwala nieuwierzytelnionym atakującym na pobieranie plików PDF faktur zawierających dane osobowe klientów przez router /download. Router jest publicznie dostępny, a atakujący może enumerować MongoDB ObjectIds, aby pobrać dowolną fakturę.
Ocena ryzyka
Organizacja narażona jest na ujawnienie danych klientów i naruszenie poufności finansowej, co może skutkować konsekwencjami prawnymi.
Rekomendacja
Należy natychmiast zabezpieczyć router /download uwierzytelnianiem i autoryzacją, a także rozważyć aktualizację systemu.
Oryginalny opis (angielski, źródło NVD)
A broken access control vulnerability in Idurar IDURAR ERP CRM 4.1.0 allows unauthenticated remote attackers to download invoice PDF files containing customer PII via the /download router. The router is mounted without authentication middleware, making it publicly accessible. An attacker can enumerate MongoDB ObjectIds to download any invoice in the system without credentials.