CVE-2026-81031
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
IDURAR ERP CRM zmienia hasło konta wskazanego w żądaniu, a nie konta wykonującego żądanie. Procedura aktualizacji w updatePassword.js pobiera uwierzytelnionego użytkownika z tokena, ale aktualizację wykonuje na podstawie identyfikatora z URL, bez porównania. Trasa jest chroniona tylko sprawdzeniem tokena administratora, więc każda sesja administratora wystarczy. Jedyna ochrona odrzuca tylko jeden zakodowany adres demo. Atakujący może ustawić dowolne hasło na innym koncie administratora i zalogować się jako on.
Ocena ryzyka
Administrator może przejąć inne konta administratorów, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj IDURAR ERP CRM do wersji, która porównuje uwierzytelnionego użytkownika z docelowym identyfikatorem. Dodatkowo ogranicz dostęp do tras administracyjnych i wymagaj dodatkowej autoryzacji.
Powiązane podatności
- CVE-2026-15980Krytyczne
Wtyczka MyHome Core dla WordPressa do wersji 4.4.5 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania. Wynika to z braku autoryzacji w handlerze AJAX send_link() oraz nieprawidłowej walidacji tokenów w funkcji activate(). Pozwala to nieuwierzytelnionemu atakującemu wygenerować token aktywacyjny dla niepotwierdzonego konta użytkownika i uzyskać ważny cookie uwierzytelniające dla tego konta, w tym dla administratorów.
- CVE-2026-15369Krytyczne
Wtyczka Custom User Registration Fields for WooCommerce do WordPressa w wersjach do 2.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z akceptowania przez wtyczkę wartości afreg_select_user_role kontrolowanej przez atakującego z nieuwierzytelnionego żądania WooCommerce Store API /wc/store/v1/checkout, zapisywania jej w metadanych zamówienia i przekazywania bezpośrednio do WP_User::add_role() bez walidacji względem listy dozwolonych ról skonfigurowanej przez administratora. Umożliwia to nieuwierzytelnionym atakującym podniesienie uprawnień do administratora poprzez utworzenie konta podczas realizacji zamówienia ze zmodyfikowanym ciałem JSON określającym rolę administratora.
- CVE-2026-82460Krytyczne
Cloud Commander przed wersją 19.20.2 zawiera podatność na przechodzenie po katalogach w operacjach plikowych REST i endpointach markdown, która nieprawidłowo waliduje normalizację ścieżek. Atakujący mogą użyć sekwencji przechodzenia po katalogach do odczytu, zapisu, przenoszenia lub kopiowania plików poza skonfigurowanym katalogiem głównym.
- CVE-2026-82456Krytyczne
argocd-mcp 0.8.0 wiąże swój transport HTTP ze wszystkimi interfejsami sieciowymi i akceptuje sesje MCP bez wymagania poświadczeń wywołującego, gdy skonfigurowano ARGOCD_API_TOKEN. Atakujący, którzy mogą dotrzeć do nasłuchiwacza, mogą wywołać pełną powierzchnię narzędzi, używając przechowywanego tokena operatora, aby tworzyć aplikacje, żądać synchronizacji i modyfikować zasoby Argo CD.
- CVE-2026-82454Krytyczne
API Omnivore (packages/api) przed poprawką w commicie abf53d6 zawiera ominięcie uwierzytelniania w weryfikacji tokenów logowania przez Apple. Funkcja decodeAppleToken pobierała pole 'alg' z nagłówka JWT dostarczonego przez atakującego i przekazywała je jako jedyny dozwolony algorytm do jwt.verify(). Używając jsonwebtoken v8 (który nie weryfikuje zgodności klucza/algorytmu), atakujący może ustawić alg=HS256 i podpisać sfałszowany token, używając publicznego klucza RSA Apple jako sekretu HMAC, omijając weryfikację podpisu i podszywając się pod dowolne konto powiązane z Apple.
- CVE-2026-82452Krytyczne
rust-iot-platform do commita 5df942ab zawiera podatność na ominięcie uwierzytelniania, gdzie większość tras API REST nie ma zabezpieczeń uwierzytelniających w sygnaturach handlerów. Nieuwierzytelnieni atakujący mogą tworzyć, aktualizować, listować, pobierać i usuwać konta użytkowników, bezpośrednio uzyskując dostęp do niezabezpieczonych endpointów bez podawania prawidłowych poświadczeń.
- CVE-2026-82448Krytyczne
Shinobi przed commitem 5a76c74f zawiera zakodowany na stałe klucz połączenia w usłudze węzła podrzędnego, który pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań do bazy danych. Atakujący, którzy dotrą do portu węzła podrzędnego, mogą przedstawić zakodowany klucz podczas uzgadniania WebSocket, a następnie wysyłać zapytania SQL przez handler onWebSocketDataFromChildNode, aby odczytywać i modyfikować rekordy użytkowników oraz konfigurację kamer.
- CVE-2026-14494Krytyczne
Wtyczka Sigma Forms Pro dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 1.4.5 włącznie, poprzez funkcję handle_form_submission. Wynika to z dynamicznego przyznawania wszystkim użytkownikom uprawnienia unfiltered_upload podczas przesyłania formularzy oraz pomijania walidacji typu MIME, gdy allowed_file_types nie jest skonfigurowane. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze. Kilka domyślnych szablonów, w tym Job Application, Support Ticket i Wholesale Application, ma pola przesyłania plików bez ograniczeń typów plików, co czyni tę podatność natychmiast wykorzystywalną po instalacji.
- CVE-2026-77012Krytyczne
Wtyczka WordPress 爱采集数据采集和发布插件 do wersji 1.0.0 nie wymaga tajnego klucza dla jednego z nieuwierzytelnionych punktów końcowych, opierając się na zakodowanym na stałe domyślnym kluczu, oraz nie weryfikuje adresów URL ani ścieżek docelowych. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików z serwera, wymuszenie wysyłania dowolnych żądań i pobieranie odpowiedzi oraz zapisywanie treści poza katalogiem uploads.
- CVE-2026-16947Krytyczne
Wtyczka Total processing card payments for WooCommerce dla WordPressa do wersji 7.3 nie weryfikuje ścieżki podanej przez użytkownika przed użyciem jej do zbudowania żądania weryfikacji po stronie serwera i nie weryfikuje autentyczności odpowiedzi. Umożliwia to nieuwierzytelnionym atakującym przekierowanie tego żądania na dowolny host (ujawniając poświadczenia bramki płatniczej sprzedawcy) oraz sfałszowanie odpowiedzi oznaczającej dowolne zamówienia WooCommerce jako opłacone.
Oryginalny opis (angielski, źródło NVD)
IDURAR ERP CRM changes the password of whichever account a request names rather than the account making the request. The update handler in backend/src/controllers/middlewaresControllers/createUserController/updatePassword.js resolves the authenticated user from the request that the token middleware populated, then issues its update against a filter built from the identifier in the URL path, and never compares the two. The route is mounted behind the administrator token check only, so any valid administrator session is sufficient, and the sole ownership-like guard in the handler rejects a single hardcoded demo address. A caller can therefore set an arbitrary password on any other administrator account and sign in as it. The read handler in the same controller directory accepts an identifier the same way, which supplies the identifiers needed to pick a target.