CVE-2026-90509

WysokieCVSS 7.3

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 20/09/2026(UTC)Przetłumaczono: 13/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W dromara orion-visor do wersji 2.5.7 zidentyfikowano słabość w funkcji ExposeApiAspect.beforeExposeApi w pliku ExposeApiAspect.java. Manipulacja może prowadzić do użycia wbudowanych na stałe poświadczeń. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.

Ocena ryzyka

Wbudowane na stałe poświadczenia mogą umożliwić atakującemu nieautoryzowany dostęp do chronionych zasobów lub usług. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Zaktualizuj orion-visor do wersji nowszej niż 2.5.7, gdy tylko poprawka będzie dostępna. Do tego czasu zmień domyślne poświadczenia i ogranicz dostęp sieciowy do usługi.

Inne podatności w orion-visor

CVE-2026-90510Wysokie
W dromara orion-visor do wersji 2.5.7 wykryto lukę w funkcji HostKeyServiceImpl.encryptKey w pliku HostKeyServiceImpl.java. Manipulacja prowadzi do użycia wbudowanego na stałe klucza kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany; projekt został poinformowany o problemie, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in dromara orion-visor up to 2.5.7. Affected by this issue is the function ExposeApiAspect.beforeExposeApi of the file ExposeApiAspect.java. Executing a manipulation can lead to hard-coded credentials. The attack can be executed remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS