CVE-2026-72605
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Brak uwierzytelnienia w Swing Music 3.0.0 pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie dowolnych kont użytkowników przez endpoint POST /auth/profile/create. Endpoint jest wyłączony z weryfikacji JWT, co umożliwia nieuwierzytelnione tworzenie kont. Atakujący może zarejestrować konto i użyć go do dostępu do chronionych funkcji serwera.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych funkcji, co może prowadzić do naruszenia integralności danych lub przejęcia kont.
Rekomendacja
Zaktualizuj Swing Music do wersji nowszej niż 3.0.0 lub zastosuj poprawkę wymagającą uwierzytelnienia dla endpointu tworzenia kont.
Oryginalny opis (angielski, źródło NVD)
A missing authentication vulnerability in Swing Music 3.0.0 allows unauthenticated remote attackers to create arbitrary user accounts via the POST /auth/profile/create endpoint. The endpoint is allowlisted from JWT verification, permitting unauthenticated account creation. An attacker can register an account and use it to access protected functionality on the server.