CVE-2026-90501
ŚrednieCVSS 6.3Streszczenie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność w funkcji HrInfoController.updateHr (plik HrMapper.xml). Manipulacja argumentem Password prowadzi do niewłaściwego zarządzania uprawnieniami. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Nieuwierzytelniony lub nisko uprzywilejowany atakujący może zdalnie eskalować uprawnienia w systemie HR. Może to prowadzić do nieautoryzowanego dostępu do danych pracowników i funkcji administracyjnych.
Rekomendacja
Ogranicz dostęp sieciowy do aplikacji vhr do zaufanych sieci i wdróż poprawkę, gdy tylko będzie dostępna. Sprawdź logi pod kątem nietypowych zmian w danych HR.
Inne podatności w lenve vhr
Zobacz wszystkie- CVE-2026-90500Średnie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność w funkcji FastDFSUtils.upload w pliku /hr/userface (komponent Avatar Upload). Manipulacja argumentem File umożliwia nieograniczone przesyłanie plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-90499Średnie
W systemie lenve vhr 1.0-SNAPSHOT odkryto lukę w funkcji HrInfoController.updatePass w pliku /hr/pass (komponent Password Update Handler). Manipulacja argumentem hrid prowadzi do niewłaściwej autoryzacji. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-90498Wysokie
W systemie lenve vhr 1.0-SNAPSHOT wykryto podatność związaną z użyciem domyślnych poświadczeń w pliku vhr.sql. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in lenve vhr 1.0-SNAPSHOT. This issue affects the function HrInfoController.updateHr of the file HrMapper.xml. Such manipulation of the argument Password leads to improper privilege management. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.