CVE-2026-92605
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
IRIS do wersji 2.4.29 nieprawidłowo weryfikuje autoryzację spraw w punktach końcowych listy komentarzy dla notatek, zadań, IOC, zasobów i elementów dowodowych. Atakujący mający dostęp do dowolnej pojedynczej sprawy może wyliczać sekwencyjne identyfikatory obiektów i czytać wątki komentarzy ze spraw, do których nie ma uprawnień.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego ujawnienia poufnych informacji z innych spraw, w tym szczegółów dochodzeń lub danych wrażliwych. Narusza to poufność i może mieć konsekwencje zgodnościowe.
Rekomendacja
Zaktualizuj IRIS do wersji nowszej niż 2.4.29, która naprawia tę lukę. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do punktów końcowych komentarzy lub wdrożyć dodatkowe kontrole autoryzacji.
Inne podatności w IRIS
Zobacz wszystkie- CVE-2026-18362Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni uwierzytelniania użytkowników przed atakami brute-force.
- CVE-2026-18360Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji atrybutów niestandardowych.
- CVE-2026-16971Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) nie chroni walidacji MFA przed atakami brute-force.
- CVE-2026-16970Średnie
Aplikacja webowa IRIS w wersji 2.4.26 (i prawdopodobnie innych) zawiera nieskuteczną funkcję wylogowania. Skradzione ciasteczka sesji mogą być długo wykorzystywane.
- CVE-2026-16969Wysokie
Aplikacja internetowa IRIS w wersji 2.4.26 i prawdopodobnie innych jest podatna na trwały atak XSS w funkcji aktywów.
- CVE-2026-42547Średnie
IRIS to internetowa platforma współpracy pomagająca osobom reagującym na incydenty w udostępnianiu szczegółów technicznych podczas dochodzeń. W wersjach przed 2.4.28 użytkownicy mogą tworzyć alerty dla klientów, którzy nie są im przypisani. Można to nadużyć do fałszywego przypisywania fałszywych alertów klientom. W połączeniu z Cross-Site Scripting (XSS) może to być również wykorzystane do eksfiltracji alertów od innych klientów. Wersja 2.4.28 zawiera łatkę.
- CVE-2026-42543Średnie
Platforma IRIS przed wersją 2.4.28 jest podatna na atak CSRF, ponieważ używa metody HTTP GET do zmiany stanu na serwerze. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu ofiary.
- CVE-2026-42540Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty w udostępnianiu szczegółów technicznych. Wersje przed 2.4.28 umożliwiały użytkownikowi zmianę wartości w bazie danych poprzez manipulację żądaniami API.
- CVE-2026-42539Średnie
IRIS to platforma internetowa wspomagająca wymianę informacji technicznych podczas dochodzeń. Wersje przed 2.4.28 zwracają użytkownikowi wrażliwe dane, które nie są potrzebne do działania klienta. Wersja 2.4.28 zawiera poprawkę.
- CVE-2026-42538Średnie
IRIS to internetowa platforma współpracy pomagająca zespołom reagowania na incydenty. Wersje przed 2.4.28 nie walidują poprawnie przesyłanych plików, co umożliwia wykorzystanie aplikacji do hostowania stron phishingowych oraz stwarza podatność na Cross-Site Scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
IRIS through 2.4.29 fails to properly validate case authorization in comment listing endpoints for notes, tasks, IOCs, assets, and evidence items. Attackers with access to any single case can enumerate sequential object identifiers and read comment threads from cases they have no authorization to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS