CVE-2026-75415

Niskie ryzyko· EPSS 4%

Opublikowano: 26/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

AntFlow V2.0.0 jest podatny na nieprawidłową kontrolę dostępu. JiMuMDCCommonsRequestLoggingFilter.java pobiera userid z nagłówka żądania jako podstawę mechanizmu weryfikacji tożsamości, co pozwala atakującym na sfałszowanie dowolnych danych uwierzytelniających tożsamość użytkownika, powodując wyciek wrażliwych informacji.

Ocena ryzyka

Atakujący może podszyć się pod dowolnego użytkownika, w tym administratora, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i naruszenia integralności systemu.

Rekomendacja

Należy zmienić mechanizm weryfikacji tożsamości, aby nie polegać na nagłówkach żądań, lecz na bezpiecznych sesjach lub tokenach uwierzytelniających.

Inne podatności w AntFlow

CVE-2026-75414Niskie ryzyko· EPSS 7%
W AntFlow V2.0.0, ActivitiTest.java umożliwia użytkownikom wykonywanie wyrażeń JUEL bez filtrowania danych wejściowych, co prowadzi do podatności na wykonanie poleceń.

Oryginalny opis (angielski, źródło NVD)

AntFlow V2.0.0 is vulnerable to Incorrect Access Control. JiMuMDCCommonsRequestLoggingFilter.java retrieves the userid from the request header as the core of the identity verification mechanism, allowing attackers to forge any user identity credential information, thereby causing sensitive information leakage.