CVE-2026-92754

ŚrednieCVSS 4.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

PatrowlManager do wersji 1.8.4 zawiera podatność na niewłaściwą kontrolę dostępu w endpoincie API listowania użytkowników, gdzie dekorator autoryzacji jest zakomentowany. Uwierzytelnieni atakujący z kontami o niskich uprawnieniach mogą wyliczyć wszystkich użytkowników i ich flagi uprawnień, w tym status superusera i staff.

Ocena ryzyka

Wyliczenie użytkowników i ich uprawnień może ułatwić atakującym planowanie dalszych ataków, takich jak eskalacja uprawnień lub ataki ukierunkowane.

Rekomendacja

Zaktualizuj PatrowlManager do wersji nowszej niż 1.8.4 lub przywróć dekorator autoryzacji w endpoincie listowania użytkowników.

Inne podatności w PatrowlManager

CVE-2026-92753Wysokie
PatrowlManager do wersji 1.8.4 zawiera podatność obejścia autoryzacji w punktach końcowych API zdarzeń i alertów, które nie filtrują według właściciela. Uwierzytelnieni atakujący mogą czytać historię zdarzeń platformy, usuwać dowolne zdarzenia i modyfikować alerty należące do innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

PatrowlManager through 1.8.4 contains an improper access control vulnerability in the user listing API endpoint where the authorization decorator is commented out. Authenticated attackers with low-privilege accounts can enumerate all users and their privilege flags including superuser and staff status by accessing the endpoint.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS