CVE-2026-92603

ŚrednieCVSS 6.5

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

ContiNew Admin do wersji 4.1.0 zawiera podatność typu authorization bypass w endpointcie usuwania wiadomości prywatnych. Uwierzytelnieni użytkownicy mogą usuwać wiadomości i ogłoszenia innych użytkowników, podając dowolne identyfikatory w parametrze IdsReq, co pozwala na usunięcie dowolnego wiersza wiadomości oraz wyczyszczenie potwierdzeń odczytu wszystkich odbiorców bez weryfikacji właściciela.

Ocena ryzyka

Atakujący może usuwać wiadomości i ogłoszenia innych użytkowników, powodując utratę danych oraz zakłócenie komunikacji w organizacji. Brak weryfikacji właściciela umożliwia masowe i niekontrolowane usuwanie treści.

Rekomendacja

Należy zaktualizować ContiNew Admin do wersji nowszej niż 4.1.0. Do czasu aktualizacji zaleca się ograniczenie uprawnień do endpointu usuwania wiadomości oraz monitorowanie nietypowych operacji usuwania.

Inne podatności w ContiNew Admin

CVE-2026-80050Średnie
ContiNew Admin nie sprawdza uprawnień do przesyłania plików ani nie weryfikuje dozwolonych typów plików w endpointach multipart upload, co pozwala uwierzytelnionym użytkownikom przechowywać pliki o dowolnych rozszerzeniach.

Oryginalny opis (angielski, źródło NVD)

ContiNew Admin through 4.1.0 contains an authorization bypass vulnerability in the personal message delete endpoint that allows authenticated users to delete other users' messages and announcements. Attackers can supply arbitrary message identifiers in the IdsReq parameter to remove any message row and purge all recipients' read receipts without ownership validation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS