CVE-2026-92466
WysokieCVSS 8.8Streszczenie
Platforma mikrousług zlt2000 w wersji do 6.0.0 zawiera lukę braku autoryzacji, ponieważ flaga zlt.security.auth.urlPermission.enable domyślnie ma wartość false, co wyłącza wszystkie kontrole uprawnień po uwierzytelnieniu. Uwierzytelnieni użytkownicy bez przypisanych ról mogą uzyskać dostęp do API administracyjnych, w tym zarządzania użytkownikami, przypisywania ról i operacji na indeksach Elasticsearch.
Ocena ryzyka
Każdy uwierzytelniony użytkownik, nawet bez uprawnień, może wykonywać operacje administracyjne, co prowadzi do eskalacji uprawnień i pełnej kompromitacji systemu. Organizacja może ponieść poważne szkody związane z nieautoryzowanym dostępem do danych i konfiguracji.
Rekomendacja
Należy natychmiast ustawić flagę zlt.security.auth.urlPermission.enable na true i zweryfikować, czy kontrola dostępu działa poprawnie. Zaleca się także audyt uprawnień użytkowników i monitorowanie nietypowych działań administracyjnych.
Inne podatności w zlt2000 microservices-platform
Zobacz wszystkie- CVE-2026-92469Wysokie
zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę obejścia autoryzacji w module file-center w punkcie końcowym DELETE /files/{id}, który nie wykonuje walidacji własności. Uwierzytelnieni atakujący mogą wyliczyć identyfikatory plików przez GET /files i usunąć pliki oraz metadane dowolnych użytkowników, podając ich identyfikatory do punktu końcowego usuwania.
- CVE-2026-92468Średnie
zlt2000 microservices-platform do wersji 6.0.0 zawiera podatność obejścia autoryzacji w usłudze search-center, która pozwala uwierzytelnionym atakującym odczytać dowolny indeks Elasticsearch poprzez podanie nazwy indeksu w zmiennych ścieżki POST /search/{indexName} oraz GET /agg/requestStat/{indexName}/{routing}. Atakujący mogą odpytywać dowolne indeksy, w tym sys_user, aby uzyskać poufne rekordy użytkowników i hashe haseł bez odpowiednich kontroli dostępu.
- CVE-2026-92467Wysokie
zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę niezweryfikowanej zmiany hasła w punkcie końcowym PUT /users/password, która pozwala uwierzytelnionym użytkownikom zmienić hasło dowolnego konta poprzez pominięcie sprawdzenia aktualnego hasła. Atakujący mogą podać dowolny identyfikator użytkownika w treści żądania i nowe hasło, aby nadpisać poświadczenia dowolnego konta niebędącego administratorem bez weryfikacji.
Oryginalny opis (angielski, źródło NVD)
zlt2000 microservices-platform through 6.0.0 contains a missing authorization vulnerability where the zlt.security.auth.urlPermission.enable flag defaults to false, disabling all permission checks after authentication. Authenticated users with no roles can access administrative APIs including user management, role assignment, and Elasticsearch index operations by bypassing the disabled authorization enforcement.