CVE-2026-92601

ŚrednieCVSS 6.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Guns do wersji 8.3.5 zawiera podatność polegającą na nieprawidłowej kontroli dostępu w SysNoticeController, gdzie wymagane uprawnienie (requiredPermission) domyślnie przyjmuje wartość false i nie jest nadpisywane przez żadną metodę akcji. Uwierzytelnieni użytkownicy bez przypisanych ról mogą tworzyć, edytować, usuwać, publikować i wycofywać ogłoszenia systemowe dotyczące dowolnych użytkowników i działów.

Ocena ryzyka

Użytkownicy bez odpowiednich uprawnień mogą modyfikować ogłoszenia systemowe, co może prowadzić do dezinformacji, wprowadzania złośliwych treści lub zakłócenia komunikacji w całej organizacji. Stanowi to naruszenie integralności danych.

Rekomendacja

Należy zaktualizować Guns do wersji nowszej niż 8.3.5. Do czasu aktualizacji zaleca się ręczne skonfigurowanie wymaganych uprawnień dla akcji SysNoticeController oraz monitorowanie zmian w ogłoszeniach.

Inne podatności w Guns

CVE-2026-92600Średnie
Guns do wersji 8.3.5 zawiera podatność typu information disclosure w SysUserController, gdzie endpointy /sysUser/detail i /sysUser/page nie mają skonfigurowanego wymaganego uprawnienia (requiredPermission), co powoduje pominięcie walidacji RBAC przez interceptor uprawnień dla uwierzytelnionych użytkowników. Atakujący z dowolnym ważnym tokenem logowania może odczytać wrażliwe dane użytkowników, w tym nazwy kont, imiona i nazwiska, adresy e-mail, numery telefonów, ostatnie adresy IP logowania oraz przypisane role dla wszystkich użytkowników w systemie.

Oryginalny opis (angielski, źródło NVD)

Guns through 8.3.5 contains an improper access control vulnerability in SysNoticeController where requiredPermission defaults to false and is not overridden by any action methods. Authenticated users without assigned roles can exploit this to create, edit, delete, publish and retract system-wide notices affecting arbitrary users and departments.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS