CVE-2026-90498
WysokieCVSS 7.3Streszczenie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność związaną z użyciem domyślnych poświadczeń w pliku vhr.sql. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Użycie domyślnych poświadczeń umożliwia zdalnym atakującym uzyskanie nieautoryzowanego dostępu do systemu. Publiczna dostępność exploitu zwiększa ryzyko kompromitacji.
Rekomendacja
Należy natychmiast zmienić wszystkie domyślne poświadczenia w pliku vhr.sql oraz w bazie danych. Zaleca się również weryfikację, czy system nie został już skompromitowany.
Inne podatności w lenve vhr
Zobacz wszystkie- CVE-2026-90501Średnie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność w funkcji HrInfoController.updateHr (plik HrMapper.xml). Manipulacja argumentem Password prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-90500Średnie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność w funkcji FastDFSUtils.upload w pliku /hr/userface (komponent Avatar Upload). Manipulacja argumentem File umożliwia nieograniczone przesyłanie plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90499Średnie
W systemie lenve vhr 1.0-SNAPSHOT odkryto lukę w funkcji HrInfoController.updatePass w pliku /hr/pass (komponent Password Update Handler). Manipulacja argumentem hrid prowadzi do niewłaściwej autoryzacji. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in lenve vhr 1.0-SNAPSHOT. Affected by this issue is some unknown functionality of the file vhr.sql. The manipulation leads to use of default credentials. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.