CVE-2026-9409

ŚrednieCVSS 4.3

Opublikowano: 25/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

W systemie Sushmi-pal Invoice-System (do wersji a0a3faa16dee2621b231ae227333f5761607283b) stwierdzono podatność w nieznanej części pliku /user w komponencie User Management Handler. Manipulacja argumentem role prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany. Producent nie odpowiedział.

Ocena ryzyka

Atakujący może eskalować swoje uprawnienia, uzyskując dostęp do funkcji administracyjnych, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Zaimplementuj ścisłą kontrolę dostępu opartą na rolach oraz walidację danych wejściowych dla argumentu role.

Inne podatności w Invoice-System

CVE-2026-9410Średnie
W systemie Sushmi-pal Invoice-System (do wersji a0a3faa16dee2621b231ae227333f5761607283b) stwierdzono podatność w nieznanym kodzie pliku /profile w komponencie Profile Workflow. Manipulacja argumentem ID prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in Sushmi-pal Invoice-System up to a0a3faa16dee2621b231ae227333f5761607283b. This affects an unknown part of the file /user of the component User Management Handler. This manipulation of the argument role causes improper authorization. It is possible to initiate the attack remotely. The exploit has been published and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS