CVE-2026-77226
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Camunda 7.24.0 przed 7.24.15 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym pierwszego uruchomienia aplikacji Admin, gdzie SetupResource błędnie ustala dostępność konfiguracji, licząc tylko bezpośrednich członków grupy camunda-admin. Nieuwierzytelniony zdalny atakujący może wykorzystać tę wadę logiki, aby wywołać punkt końcowy tworzenia użytkownika i utworzyć nowe konto administratora, gdy grupa camunda-admin jest pusta, ale system jest w pełni zarządzany.
Ocena ryzyka
Prowadzi to do przejęcia konta oraz potencjalnego wdrożenia procesów lub wykonania skryptów jako użytkownik usługi silnika, co może skutkować pełną kompromitacją środowiska.
Rekomendacja
Należy zaktualizować Camunda do wersji 7.24.15 lub nowszej oraz zweryfikować, czy nie utworzono nieautoryzowanych kont administratorów.
Inne podatności w Camunda
Zobacz wszystkie- CVE-2026-109431Wysokie
Camunda 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest, która pozwala uwierzytelnionym atakującym bez przyznanych uprawnień na dostęp do komentarzy i załączników zadań poprzez wywołanie pojedynczych punktów końcowych odczytu i usuwania, które nie mają filtrów autoryzacji wymuszanych na odpowiadających im punktach końcowych listy. Atakujący mogą wykorzystać metody TaskAttachmentResourceImpl i TaskCommentResourceImpl, takie jak getAttachment, getAttachmentData, deleteAttachment i getComment, używając tylko znanego identyfikatora obiektu, aby odczytać, pobrać lub trwale usunąć załączniki i komentarze zadań.
- CVE-2026-109432Krytyczne
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
Oryginalny opis (angielski, źródło NVD)
Camunda 7.24.0 before 7.24.15 contains an incorrect authorization vulnerability in the Admin web application's first-run setup endpoint, where SetupResource incorrectly determines setup availability by counting only direct members of the camunda-admin group rather than recognizing all configured administrators. An unauthenticated remote attacker can exploit this logic flaw to call the setup user-create endpoint and create a new administrator account when the camunda-admin group is empty but the system is fully administered, resulting in account takeover and potential process deployment or script execution as the engine's service user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS