CVE-2026-72692
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu trwałe odrzucenie dowolnego dokumentu w trakcie obiegu i sfałszowanie atrybucji odrzucenia na dowolnego użytkownika poprzez funkcję chmurową Parse declinedoc. Funkcja zapisuje pola IsDeclined, DeclineReason oraz wskaźnik DeclineBy podany przez wywołującego bez weryfikacji tożsamości, co umożliwia przerwanie procesu i fałszowanie ewidencji.
Ocena ryzyka
Atakujący może zakłócić procesy podpisywania dokumentów i sfałszować zapisy, co może prowadzić do utraty integralności danych i zaufania do systemu.
Rekomendacja
Zaktualizuj opensignserver do najnowszej wersji, jeśli dostępna, i wdróż poprawki autoryzacji dla funkcji declinedoc. Ogranicz dostęp do funkcji chmurowych tylko dla uwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability in OpenSignLabs opensignserver through 2.37.0 allows an unauthenticated remote attacker to irreversibly decline any in-flight document and forge the decline attribution to an arbitrary user via the declinedoc Parse cloud function. The function writes IsDeclined, DeclineReason, and a caller-supplied DeclineBy pointer without verifying the caller's identity, enabling workflow termination and evidentiary record falsification against any accessible document.