CVE-2026-92764

ŚrednieCVSS 4.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 24/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

OpenCVE w wersjach od 2.4.0 przed 3.1.0 nie ogranicza endpointu API organizacji do organizacji powiązanej z tokenem, zwracając zamiast tego członkostwa twórcy tokenu. Atakujący z tokenem o zakresie organizacji może wylistować i pobrać wszystkie organizacje, do których należy twórca tokenu, omijając izolację tokenów.

Ocena ryzyka

Naruszenie izolacji danych między organizacjami może prowadzić do nieautoryzowanego dostępu do informacji o organizacjach i ich członkach.

Rekomendacja

Zaktualizuj OpenCVE do wersji 3.1.0 lub nowszej. Sprawdź i ogranicz zakresy tokenów API.

Inne podatności w OpenCVE

CVE-2026-62282Średnie
Podatność w OpenCVE przed wersją 3.0.0 pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do konfiguracji kanałów powiadomień na wysyłanie żądań do dowolnych hostów, w tym zasobów wewnętrznych, localhost, link-local i metadanych cloud. Testowanie powiadomień Webhook i Slack nie waliduje wystarczająco adresów docelowych, co może prowadzić do ujawnienia informacji.

Oryginalny opis (angielski, źródło NVD)

OpenCVE versions 2.4.0 before 3.1.0 fails to properly scope the organizations API endpoint to the token's organization, instead returning the token creator's memberships. Attackers with organization-scoped tokens can list and retrieve every organization their creator belongs to, bypassing intended token isolation boundaries.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS