CVE-2026-92469
WysokieCVSS 8.1Streszczenie
zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę obejścia autoryzacji w module file-center w punkcie końcowym DELETE /files/{id}, który nie wykonuje walidacji własności. Uwierzytelnieni atakujący mogą wyliczyć identyfikatory plików przez GET /files i usunąć pliki oraz metadane dowolnych użytkowników, podając ich identyfikatory do punktu końcowego usuwania.
Ocena ryzyka
Uwierzytelniony atakujący może usunąć pliki i metadane innych użytkowników, naruszając integralność i dostępność danych.
Rekomendacja
Zaktualizuj zlt2000 microservices-platform do wersji zawierającej poprawkę walidacji własności w DELETE /files/{id}.
Inne podatności w zlt2000 microservices-platform
Zobacz wszystkie- CVE-2026-92468Średnie
zlt2000 microservices-platform do wersji 6.0.0 zawiera podatność obejścia autoryzacji w usłudze search-center, która pozwala uwierzytelnionym atakującym odczytać dowolny indeks Elasticsearch poprzez podanie nazwy indeksu w zmiennych ścieżki POST /search/{indexName} oraz GET /agg/requestStat/{indexName}/{routing}. Atakujący mogą odpytywać dowolne indeksy, w tym sys_user, aby uzyskać poufne rekordy użytkowników i hashe haseł bez odpowiednich kontroli dostępu.
- CVE-2026-92467Wysokie
zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę niezweryfikowanej zmiany hasła w punkcie końcowym PUT /users/password, która pozwala uwierzytelnionym użytkownikom zmienić hasło dowolnego konta poprzez pominięcie sprawdzenia aktualnego hasła. Atakujący mogą podać dowolny identyfikator użytkownika w treści żądania i nowe hasło, aby nadpisać poświadczenia dowolnego konta niebędącego administratorem bez weryfikacji.
- CVE-2026-92466Wysokie
Platforma mikrousług zlt2000 w wersji do 6.0.0 zawiera lukę braku autoryzacji, ponieważ flaga zlt.security.auth.urlPermission.enable domyślnie ma wartość false, co wyłącza wszystkie kontrole uprawnień po uwierzytelnieniu. Uwierzytelnieni użytkownicy bez przypisanych ról mogą uzyskać dostęp do API administracyjnych, w tym zarządzania użytkownikami, przypisywania ról i operacji na indeksach Elasticsearch.
Oryginalny opis (angielski, źródło NVD)
zlt2000 microservices-platform through 6.0.0 contains an authorization bypass vulnerability in the file-center module DELETE /files/{id} endpoint that performs no ownership validation. Authenticated attackers can enumerate file identifiers via GET /files and delete arbitrary users' files and metadata by supplying their identifiers to the delete endpoint.