CVE-2026-88620
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
SmartAdmin API Java17 SpringBoot3 w wersji 3.30.0 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym /employee/queryAll. Punkt końcowy nie egzekwuje wymaganych uprawnień na poziomie funkcji ani autoryzacji zakresu danych, co pozwala uwierzytelnionemu pracownikowi o niskich uprawnieniach na pobranie rekordów pracowników należących do innych działów i użytkowników.
Ocena ryzyka
Pracownik o niskich uprawnieniach może uzyskać dostęp do danych pracowników z innych działów, co stanowi naruszenie poufności i może prowadzić do wycieku danych osobowych. Może to skutkować naruszeniem zgodności z przepisami o ochronie danych.
Rekomendacja
Zaktualizuj SmartAdmin do wersji, która naprawia tę podatność, lub wdróż kontrolę uprawnień na poziomie funkcji i zakresu danych dla punktu końcowego /employee/queryAll. Zweryfikuj, czy inne punkty końcowe nie mają podobnych braków autoryzacji.
Inne podatności w SmartAdmin
Zobacz wszystkie- CVE-2026-88617Krytyczne
SmartAdmin w wersji 3.30.0 zawiera błąd autoryzacji w punkcie końcowym zapytań konfiguracyjnych. Pozwala to zdalnemu atakującemu na eskalację uprawnień.
- CVE-2026-110117Średnie
SmartAdmin w wersjach do 3.30.0 zawiera podatność braku autoryzacji w kontrolerze AdminProtectController, umożliwiającą uwierzytelnionym pracownikom o niskich uprawnieniach modyfikację systemowych ustawień ochrony poziomu 3. Atakujący mogą wywoływać nieoznaczone endpointy updateConfig i loginFail batchDelete, aby wyłączyć blokadę logowania i logowanie dwuskładnikowe, osłabić zasady haseł oraz wyczyścić rekordy blokad.
- CVE-2026-88619Wysokie
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność braku autoryzacji w module zarządzania zadaniami zaplanowanymi. AdminSmartJobController udostępnia punkty końcowe zarządzania zadaniami zaplanowanymi bez kontroli uprawnień na poziomie metody, co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp do funkcji przeznaczonych dla uprawnionych administratorów.
- CVE-2026-88618Średnie
1024-lab SmartAdmin w wersji 3.30.0 zawiera podatność typu stored cross-site scripting w funkcji przesyłania plików. Pozwala to zdalnemu atakującemu na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
SmartAdmin API Java17 SpringBoot3 version 3.30.0 contains an improper authorization vulnerability in the /employee/queryAll endpoint. The endpoint does not enforce the required function-level permission or data-scope authorization, allowing an authenticated low-privileged employee to retrieve employee records belonging to other departments and users
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS