CVE-2026-85182
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
vhr do commitu 03abbd3 nie weryfikuje, czy identyfikator konta w żądaniu PUT /hr/pass należy do uwierzytelnionego wywołującego. Uwierzytelnieni atakujący mogą zmieniać hasła dowolnych kont, podając docelowy identyfikator konta i bieżące hasło tego konta w treści żądania.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną zmianę haseł innych użytkowników, co może prowadzić do przejęcia kont, eskalacji uprawnień i naruszenia poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację vhr do wersji z poprawką oraz wdrożenie weryfikacji własności konta w punkcie końcowym PUT /hr/pass.
Inne podatności w vhr
Zobacz wszystkie- CVE-2026-90490Średnie
Odkryto lukę w lenve vhr w wersji 1.0-SNAPSHOT. Nieznane przetwarzanie w komponencie MailReceiver prowadzi do deserializacji niezaufanych danych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-85214Wysokie
vhr nie waliduje autoryzacji użytkownika w punkcie końcowym PUT /hr/info, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnych profili HR poprzez podanie dowolnego identyfikatora profilu w treści żądania. Atakujący mogą nadpisywać nazwy, adresy innych użytkowników oraz dezaktywować konta, w tym administratorów, powodując denial of service.
Oryginalny opis (angielski, źródło NVD)
vhr through commit 03abbd3 fails to verify that the account ID in PUT /hr/pass requests belongs to the authenticated caller. Authenticated attackers can change arbitrary account passwords by supplying a target account ID and that account's current password in the request body.