CVE-2026-72688
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność braku uwierzytelniania w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt dowolnych przechowywanych dokumentów poprzez funkcję chmurową Parse fileupload. Funkcja generuje tokeny dostępu do plików podpisane kluczem MASTER_KEY dla dowolnego adresu URL podanego przez wywołującego bez przeprowadzania jakiejkolwiek kontroli sesji, co niweczy jedyną kontrolę dostępu chroniącą przechowywane pliki umów.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do wszystkich przechowywanych dokumentów, co może prowadzić do poważnego wycieku danych.
Rekomendacja
Zaktualizuj opensignserver do najnowszej wersji i dodaj obowiązkowe uwierzytelnianie w funkcji fileupload. Nie generuj tokenów dostępu dla nieuwierzytelnionych żądań.
Inne podatności w OpenSignLabs opensignserver
Zobacz wszystkie- CVE-2026-72692Wysokie
Brak autoryzacji w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu trwałe odrzucenie dowolnego dokumentu w trakcie obiegu i sfałszowanie atrybucji odrzucenia na dowolnego użytkownika poprzez funkcję chmurową Parse declinedoc. Funkcja zapisuje pola IsDeclined, DeclineReason oraz wskaźnik DeclineBy podany przez wywołującego bez weryfikacji tożsamości, co umożliwia przerwanie procesu i fałszowanie ewidencji.
- CVE-2026-72691Wysokie
Podatność obejścia uwierzytelniania w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu generowanie tokenów dostępu do plików podpisanych kluczem MASTER_KEY dla dowolnych przechowywanych plików poprzez funkcję chmurową Parse getsignedurl. Funkcja pomija sprawdzenie isAuthenticated, gdy podany jest jakikolwiek parametr docId, nawet jeśli nie odpowiada on żadnemu rzeczywistemu dokumentowi, co pozwala ominąć bramkę uwierzytelniania.
- CVE-2026-72689Wysokie
Podatność uszkodzonej autoryzacji na poziomie obiektu w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt pełnych rekordów umów poprzez funkcję chmurową Parse getDocument. Funkcja pobiera dokumenty za pomocą useMasterKey, omijając ACL obiektu, i zwraca pełne rekordy, w tym dane osobowe nadawcy i podpisującego oraz wstępnie podpisany URL do pobrania dokumentu, gdy flaga IsEnableOTP nie jest ustawiona (domyślna konfiguracja).
Oryginalny opis (angielski, źródło NVD)
A missing authentication vulnerability in OpenSignLabs opensignserver through 2.37.0 allows an unauthenticated remote attacker to read arbitrary stored documents via the fileupload Parse cloud function. The function mints MASTER_KEY-signed file access tokens for any caller-supplied URL without performing any session check, defeating the only access control protecting stored contract files.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS