CVE-2026-92419
ŚrednieCVSS 5.3Streszczenie
WEBCON BPS jest podatny na Insecure Direct Object Reference (IDOR) w punkcie końcowym /api/vacations/{path}. Parametr selectedPeople w API wykresu Gantta urlopów nie sprawdza, czy żądający użytkownik jest upoważniony do dostępu do danych żądanych użytkowników. Uwierzytelniony atakujący może podać dowolne loginy użytkowników w parametrze selectedPeople, aby przeglądać grafiki urlopów innych pracowników, w tym menedżerów i pracowników z innych biur, niezależnie od ograniczeń dostępu logiki biznesowej, co prowadzi do nieautoryzowanego ujawnienia wrażliwych informacji o harmonogramach. Podatność została naprawiona w wersjach: 2025.2.1.177 i 2026.1.1.20.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych urlopowych pracowników, co może naruszyć prywatność i poufność informacji w organizacji.
Rekomendacja
Należy zaktualizować WEBCON BPS do wersji 2025.2.1.177 lub 2026.1.1.20 (lub nowszej) oraz wdrożyć odpowiednią walidację autoryzacji dla parametru selectedPeople.
Inne podatności w WEBCON BPS
Oryginalny opis (angielski, źródło NVD)
WEBCON BPS is vulnerable to Insecure Direct Object Reference (IDOR) in the /api/vacations/{path} endpoint. The selectedPeople parameter in the Gantt vacation chart API does not validate whether the requesting user is authorized to access the requested users' data. An authenticated attacker can supply arbitrary user logins in the selectedPeople parameter to view vacation schedules of other employees, including managers and staff from other offices, regardless of business logic access restrictions, resulting in unauthorized disclosure of sensitive scheduling information.This vulnerability was fixed in versions: 2025.2.1.177 and 2026.1.1.20
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS