CVE-2026-92984

WysokieCVSS 8.1

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

HUBzero CMS do wersji 2.2.32 przyjmuje identyfikatory sesji z ciągów zapytań i zmiennych żądania zamiast wyłącznie z ciasteczek, co pozwala nieuwierzytelnionym atakującym na utrwalenie sesji ofiary. Atakujący może uzyskać prawidłowy identyfikator sesji, wysłać ofierze spreparowany link i użyć go po zalogowaniu się ofiary, przejmując jej konto.

Ocena ryzyka

Możliwe przejęcie kont użytkowników, w tym administratorów, poprzez atak session fixation, prowadzące do nieautoryzowanego dostępu do danych i funkcji systemu.

Rekomendacja

Zaktualizuj HUBzero CMS do wersji nowszej niż 2.2.32 i wymuś przyjmowanie identyfikatorów sesji wyłącznie z ciasteczek.

Inne podatności w HUBzero CMS

CVE-2026-92970Wysokie
HUBzero CMS do wersji 2.2.32 zawiera podatność typu path traversal w procedurach obsługi przesyłania plików projektowych, która pozwala uwierzytelnionym członkom projektu zapisywać dowolne pliki poza repozytorium projektu. Atakujący mogą podać sekwencje przejścia w parametrach przesyłania, aby zapisać pliki w wybranych przez siebie ścieżkach z uprawnieniami serwera WWW, co potencjalnie umożliwia wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

HUBzero CMS through 2.2.32 accepts session identifiers from query strings and request variables instead of cookies alone, allowing unauthenticated attackers to fixate victim sessions. Attackers can obtain a valid session identifier, send victims a crafted link containing it, and replay the identifier after the victim authenticates to hijack their account and access.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS