CVE-2026-92600

ŚrednieCVSS 6.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Guns do wersji 8.3.5 zawiera podatność typu information disclosure w SysUserController, gdzie endpointy /sysUser/detail i /sysUser/page nie mają skonfigurowanego wymaganego uprawnienia (requiredPermission), co powoduje pominięcie walidacji RBAC przez interceptor uprawnień dla uwierzytelnionych użytkowników. Atakujący z dowolnym ważnym tokenem logowania może odczytać wrażliwe dane użytkowników, w tym nazwy kont, imiona i nazwiska, adresy e-mail, numery telefonów, ostatnie adresy IP logowania oraz przypisane role dla wszystkich użytkowników w systemie.

Ocena ryzyka

Atakujący może uzyskać dostęp do danych osobowych i informacji o kontach wszystkich użytkowników systemu, co stanowi poważne naruszenie poufności i może prowadzić do dalszych ataków, takich jak phishing czy eskalacja uprawnień. Może to skutkować naruszeniem przepisów o ochronie danych osobowych.

Rekomendacja

Należy zaktualizować Guns do wersji nowszej niż 8.3.5. Do czasu aktualizacji zaleca się ręczne skonfigurowanie wymaganych uprawnień dla endpointów /sysUser/detail i /sysUser/page oraz monitorowanie nietypowych zapytań do tych endpointów.

Inne podatności w Guns

CVE-2026-92601Średnie
Guns do wersji 8.3.5 zawiera podatność polegającą na nieprawidłowej kontroli dostępu w SysNoticeController, gdzie wymagane uprawnienie (requiredPermission) domyślnie przyjmuje wartość false i nie jest nadpisywane przez żadną metodę akcji. Uwierzytelnieni użytkownicy bez przypisanych ról mogą tworzyć, edytować, usuwać, publikować i wycofywać ogłoszenia systemowe dotyczące dowolnych użytkowników i działów.

Oryginalny opis (angielski, źródło NVD)

Guns through 8.3.5 contains an information disclosure vulnerability in SysUserController where /sysUser/detail and /sysUser/page endpoints omit requiredPermission configuration, causing the permission interceptor to skip RBAC validation for authenticated users. Attackers with any valid login token can retrieve sensitive user information including account names, real names, email addresses, phone numbers, last login IPs, and role assignments for all users in the system.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS