CVE-2026-85214
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
vhr nie waliduje autoryzacji użytkownika w punkcie końcowym PUT /hr/info, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnych profili HR poprzez podanie dowolnego identyfikatora profilu w treści żądania. Atakujący mogą nadpisywać nazwy, adresy innych użytkowników oraz dezaktywować konta, w tym administratorów, powodując denial of service.
Ocena ryzyka
Atakujący może modyfikować dane osobowe innych użytkowników i dezaktywować konta, co może prowadzić do naruszenia integralności danych i przerwania działania systemu.
Rekomendacja
Zastosuj poprawkę, która dodaje walidację autoryzacji w punkcie końcowym PUT /hr/info. Ogranicz dostęp do tego punktu końcowego i monitoruj logi pod kątem nieautoryzowanych zmian.
Inne podatności w vhr
Zobacz wszystkie- CVE-2026-90490Średnie
Odkryto lukę w lenve vhr w wersji 1.0-SNAPSHOT. Nieznane przetwarzanie w komponencie MailReceiver prowadzi do deserializacji niezaufanych danych. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-85182Wysokie
vhr do commitu 03abbd3 nie weryfikuje, czy identyfikator konta w żądaniu PUT /hr/pass należy do uwierzytelnionego wywołującego. Uwierzytelnieni atakujący mogą zmieniać hasła dowolnych kont, podając docelowy identyfikator konta i bieżące hasło tego konta w treści żądania.
Oryginalny opis (angielski, źródło NVD)
vhr fails to validate user authorization in the PUT /hr/info endpoint, allowing authenticated users to modify arbitrary HR profiles by supplying any profile ID in the request body. Attackers can overwrite other users' names, addresses, and disable accounts including administrators to cause denial of service.