CVE-2026-75103
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Crawlab nie weryfikuje własności użytkownika ani roli administracyjnej na punkcie końcowym zmiany hasła, co pozwala każdemu uwierzytelnionemu użytkownikowi na zresetowanie hasła dowolnego konta. Atakujący mogą enumerować konta użytkowników przez punkt końcowy listy użytkowników i zmienić poświadczenia administratora, aby uzyskać pełne przejęcie konta i dowolne wykonywanie kodu.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie konta administratora, co może prowadzić do nieautoryzowanego dostępu do systemu, kradzieży danych i zdalnego wykonywania kodu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek producenta oraz weryfikację uprawnień na punkcie końcowym zmiany hasła.
Oryginalny opis (angielski, źródło NVD)
Crawlab fails to verify user ownership or administrative role on the password-change endpoint, allowing any authenticated user to reset any account's password. Attackers can enumerate user accounts through the user listing endpoint and change administrator credentials to achieve full account takeover and arbitrary code execution.