CVE-2026-92401
WysokieCVSS 7.3Streszczenie
W ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto podatność w funkcji top.upstudy.crm.utils.LoginUserUtil.releaseUserIdFromCookie prowadzącą do nieprawidłowego uwierzytelniania. Atak można zainicjować zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Nieprawidłowe uwierzytelnianie może pozwolić atakującemu na obejście kontroli dostępu i przejęcie sesji lub tożsamości użytkownika. Brak reakcji projektu utrudnia ocenę zakresu i dostępność poprawek.
Rekomendacja
Ze względu na brak poprawki rozważ wdrożenie własnych zabezpieczeń, np. dodatkowej weryfikacji sesji i ograniczeń dostępu. Monitoruj projekt w poszukiwaniu aktualizacji i rozważ alternatywne rozwiązanie CRM.
Inne podatności w ChangeWeDer crm
Zobacz wszystkie- CVE-2026-92418Niskie
W ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto podatność w nieznanym fragmencie kodu pliku src/main/resources/public/js/customerServe/customer.serve.js (komponent Save Endpoint). Manipulacja argumentem customerName powoduje cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-92402Średnie
W systemie ChangeWeDer crm do wersji c07bd4c97141521af6475034bc58523beed51bbd wykryto lukę bezpieczeństwa w funkcji index pliku UserController.java komponentu top.upstudy.crm.controller.UserController. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie. Produkt nie używa wersjonowania, dlatego informacje o wersjach podatnych i niepodatnych są niedostępne; projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in ChangeWeDer crm up to c07bd4c97141521af6475034bc58523beed51bbd. This vulnerability affects the function top.upstudy.crm.utils.LoginUserUtil.releaseUserIdFromCookie. The manipulation leads to improper authentication. The attack can be initiated remotely. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.