CVE-2026-85408
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem createdBy powoduje dynamicznie określane atrybuty obiektów, co umożliwia zdalny atak. Exploit jest publiczny, a producent nie odpowiedział.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanej modyfikacji danych lub eskalacji uprawnień poprzez manipulację atrybutami obiektów.
Rekomendacja
Zaleca się ograniczenie dostępu do API Conversation Handler oraz wdrożenie walidacji danych wejściowych. Należy również monitorować aktywność i skontaktować się z producentem.
Inne podatności w Eleveo Quality Management
Zobacz wszystkie- CVE-2026-101146Średnie
W Eleveo Quality Management 9.7.0 odkryto lukę bezpieczeństwa. Problem dotyczy funkcji UtilsService.createAndSaveAudit w pliku /qm/cz.zoom.scorecard.webui.Scorecard/QMUtilsService komponentu GWT RPC Handler. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101143Średnie
W Eleveo Quality Management 9.7.0 znaleziono podatność. Dotyczy ona nieznanej funkcjonalności pliku /qm/cz.zoom.scorecard.webui.Scorecard/cz.zoom.scorecard.webui.Scorecard/QMBODownload. Manipulacja prowadzi do ujawnienia informacji. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-101142Średnie
W Eleveo Quality Management 9.7.0 stwierdzono podatność. Dotyczy ona nieznanej funkcjonalności pliku Scorecard.jsp komponentu Questionnaire Audio Upload. Manipulacja prowadzi do path traversal. Atak może być inicjowany zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-85409Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność path traversal w funkcji QuestionnaireService.runDataExportNow komponentu Questionnaire Service. Manipulacja argumentem file_name umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-85407Średnie
W Eleveo Quality Management 9.7.0 wykryto podatność w komponencie Conversation Handler, w pliku /enc-fwk-data/api/v3/conversations/<ID>/events. Manipulacja argumentem labels prowadzi do odmowy usługi (DoS). Atak może być wykonany zdalnie. Exploit jest publiczny, a producent nie odpowiedział.
- CVE-2026-85406Niskie
Podatność w Eleveo Quality Management 9.7.0 dotyczy nieznanego kodu komponentu Conversation Review. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Eleveo Quality Management 9.7.0. Impacted is an unknown function of the file /enc-fwk-data/api/v3/conversations/<ID>/events of the component Conversation Handler. This manipulation of the argument createdBy causes dynamically-determined object attributes. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS