CVE-2026-92625
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/license/restartService jest dostępny bez uwierzytelnienia i wywołuje wewnętrzną procedurę, która kończy proces usługi iDSecure i uruchamia go ponownie za pomocą wygenerowanego skryptu wsadowego, co pozwala atakującemu na ciągłe restartowanie usługi.
Ocena ryzyka
Nieuwierzytelniony atakujący zdalnie może wielokrotnie wywoływać endpoint, utrzymując usługę w ciągłym cyklu restartów i czyniąc ją niedostępną.
Rekomendacja
Zaktualizuj Control iD iDSecure do wersji 4.8.3.0 lub nowszej.
Inne podatności w Control iD iDSecure
Zobacz wszystkie- CVE-2023-33369Krytyczne
W systemie Control ID IDSecure w wersji 4.7.26.0 i wcześniejszych występuje podatność na przejście ścieżki, która umożliwia atakującym usuwanie dowolnych plików z systemu plików IDSecure, co prowadzi do odmowy usługi.
- CVE-2026-92626Wysokie
Control iD iDSecure w wersjach przed 4.8.3.0 jest podatny na nieuwierzytelniony atak odmowy usługi. Endpoint /api/dguardintegration/dguardVersion odwołuje się do stanu logowania integracji DGuard, który może być nieustawiony, powodując nieobsłużony wyjątek null reference w asynchronicznej metodzie zwracającej void, co może zakończyć proces iDSecure.
- CVE-2023-33370Wysokie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych występuje podatność na nieobsługiwaną wyjątek, która pozwala atakującym na spowodowanie awarii głównego serwera WWW IDSecure, co prowadzi do odmowy usługi.
- CVE-2023-33368Średnie
W wersjach Control ID IDSecure 4.7.26.0 i wcześniejszych istnieją niektóre trasy API, które wyciekają wrażliwe informacje oraz hasła do użytkowników uzyskujących dostęp do tych tras API.
Oryginalny opis (angielski, źródło NVD)
Control iD iDSecure versions prior to 4.8.3.0 are affected by an unauthenticated Denial of Service. The /api/license/restartService endpoint is reachable without authentication and invokes an internal routine that terminates the iDSecure service process and relaunches it by way of a generated batch script. An unauthenticated remote attacker can call this endpoint repeatedly to hold the service in a continuous restart cycle, rendering it unavailable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS