CVE-2026-9508
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w Suprema BioStar 2 (wersje 2.9.3–2.9.11) wynika z nieprawidłowych ustawień uprawnień do krytycznego zasobu, co powoduje publiczne udostępnienie plików kopii zapasowych, gdy administrator skonfiguruje ich ścieżkę w katalogu NGINX webroot. Atakujący z dostępem sieciowym może bezpośrednio pobrać pliki ZIP kopii zapasowych za pomocą ‘http(s)://[server]/download/…’ bez uwierzytelniania.
Ocena ryzyka
Ryzyko dla organizacji obejmuje ujawnienie wysoce wrażliwych informacji, co może prowadzić do podszycia się pod serwer, nieautoryzowanego dostępu do baz danych oraz ruchu bocznego w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację Suprema BioStar 2 do wersji 2.9.12 lub nowszej, a także sprawdzenie i skorygowanie konfiguracji NGINX, aby pliki kopii zapasowych nie były dostępne publicznie.
Oryginalny opis (angielski, źródło NVD)
Incorrect permission settings on a critical resource in Suprema BioStar 2 (versions 2.9.3 through 2.9.11) that allow backup files to be publicly exposed when the administrator configures their path within the NGINX webroot. This vulnerability allows an attacker with network access to directly download backup ZIP files via ‘http(s)://[server]/download/…’ without requiring authentication. This exposes highly sensitive information that can lead to server impersonation, unauthorized access to databases, and lateral movement.