CVE-2026-92753

WysokieCVSS 7.1

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

PatrowlManager do wersji 1.8.4 zawiera podatność obejścia autoryzacji w punktach końcowych API zdarzeń i alertów, które nie filtrują według właściciela. Uwierzytelnieni atakujący mogą czytać historię zdarzeń platformy, usuwać dowolne zdarzenia i modyfikować alerty należące do innych użytkowników.

Ocena ryzyka

Atakujący może naruszyć poufność i integralność danych innych użytkowników oraz zatrzeć ślady incydentów bezpieczeństwa, utrudniając wykrycie działań.

Rekomendacja

Zaktualizuj PatrowlManager do wersji nowszej niż 1.8.4 i upewnij się, że punkty końcowe API zdarzeń i alertów egzekwują filtrowanie według właściciela.

Inne podatności w PatrowlManager

CVE-2026-92754Średnie
PatrowlManager do wersji 1.8.4 zawiera podatność na niewłaściwą kontrolę dostępu w endpoincie API listowania użytkowników, gdzie dekorator autoryzacji jest zakomentowany. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wyliczyć wszystkich użytkowników i ich flagi uprawnień, w tym status superusera i staff.

Oryginalny opis (angielski, źródło NVD)

PatrowlManager through 1.8.4 contains an authorization bypass vulnerability in the events and alerts API endpoints that lack ownership filtering. Authenticated attackers can read platform event history, delete arbitrary events, and modify alerts belonging to other users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS