CVE-2026-72689
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność uszkodzonej autoryzacji na poziomie obiektu w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt pełnych rekordów umów poprzez funkcję chmurową Parse getDocument. Funkcja pobiera dokumenty za pomocą useMasterKey, omijając ACL obiektu, i zwraca pełne rekordy, w tym dane osobowe nadawcy i podpisującego oraz wstępnie podpisany URL do pobrania dokumentu, gdy flaga IsEnableOTP nie jest ustawiona (domyślna konfiguracja).
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych umów, co może prowadzić do naruszenia prywatności i wycieku informacji.
Rekomendacja
Zaktualizuj opensignserver do najnowszej wersji i napraw funkcję getDocument, aby nie używała useMasterKey bez odpowiedniej autoryzacji. Włącz OTP dla dokumentów, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
A broken object-level authorization vulnerability in OpenSignLabs opensignserver through 2.37.0 allows an unauthenticated remote attacker to read complete contract records via the getDocument Parse cloud function. The function fetches documents using useMasterKey, bypassing the object ACL, and returns full records including sender and signer PII and a pre-signed document download URL whenever the document's IsEnableOTP flag is unset, which is the default configuration.