CVE-2026-90768

WysokieCVSS 8.1

Opublikowano: 13/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 13/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

CAPEv2 do commita 471ee4b nie weryfikuje własności zadań w endpointach REST API, co pozwala uwierzytelnionym użytkownikom na odczyt i usuwanie analiz przesłanych przez innych użytkowników. Atakujący może wyliczyć wszystkie zadania w systemie i usunąć dowolne analizy, wysyłając żądania do endpointów wyświetlania i usuwania zadań bez weryfikacji własności.

Ocena ryzyka

Brak kontroli własności umożliwia nieautoryzowany dostęp do danych analiz innych użytkowników oraz ich zniszczenie, co może prowadzić do utraty danych i naruszenia poufności. Ryzyko dotyczy każdej instancji CAPEv2 z wieloma użytkownikami.

Rekomendacja

Zaktualizuj CAPEv2 do wersji zawierającej poprawkę po commicie 471ee4b. Jeśli poprawka nie jest dostępna, rozważ ograniczenie dostępu do API tylko do zaufanych użytkowników lub wdrożenie dodatkowej kontroli własności po stronie proxy.

Inne podatności w CAPEv2

CVE-2025-61301Wysokie
Podatność w CAPEv2 (commit 52e4b43) w plikach reporting/mongodb.py i reporting/jsondump.py umożliwia atakującym przesyłanie próbek, które generują głęboko zagnieżdżone lub zbyt duże dane behawioralne, powodując błędy limitów BSON MongoDB lub rekurencji orjson. Skutkuje to niekompletnymi lub brakującymi raportami analizy behawioralnej.

Oryginalny opis (angielski, źródło NVD)

CAPEv2 through commit 471ee4b fails to validate task ownership in REST API endpoints, allowing authenticated users to read and delete analyses submitted by other users. Attackers can enumerate all tasks in the system and delete arbitrary analyses by sending requests to task view and delete endpoints without ownership verification.