CVE-2026-97060
WysokieCVSS 7.2Streszczenie
X-SpringBoot do wersji 6.0 nie posiada autoryzacji na poziomie obiektu w endpointach zarządzania użytkownikami. Sub-administratorzy mogą modyfikować lub usuwać użytkowników bez weryfikacji właściciela. Atakujący z uprawnieniami do zarządzania użytkownikami może resetować hasła dowolnego konta, w tym superadministratora, zmieniać role lub usuwać użytkowników przez endpointy POST /sys/user/update i POST /sys/user/delete.
Ocena ryzyka
Atakujący z uprawnieniami do zarządzania użytkownikami może przejąć kontrolę nad dowolnym kontem, w tym superadministratora, co prowadzi do pełnego przejęcia systemu. Może to skutkować nieautoryzowanym dostępem, utratą danych lub eskalacją uprawnień.
Rekomendacja
Zaktualizuj X-SpringBoot do wersji nowszej niż 6.0, która zawiera poprawkę autoryzacji obiektowej. W międzyczasie ogranicz uprawnienia sub-administratorów i monitoruj nietypowe operacje na użytkownikach.
Inne podatności w X-SpringBoot
Zobacz wszystkie- CVE-2026-100192Średnie
X-SpringBoot w wersji do 6.0 ujawnia poświadczenia appKey i appSecret w punkcie końcowym GET /application/manager/select bez uwierzytelniania i filtrowania pól. Nieuwierzytelnieni atakujący mogą pobrać te poświadczenia i użyć ich do wysyłania dowolnych wiadomości SMS przez dostawcę SMS dowolnego najemcy, umożliwiając ataki SMS bombing i podszywanie się.
- CVE-2026-97064Krytyczne
X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.
- CVE-2026-97063Krytyczne
X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.
Oryginalny opis (angielski, źródło NVD)
X-SpringBoot through 6.0 lacks object-level authorization in user management endpoints, allowing sub-administrators to modify or delete users without ownership verification. Attackers with user-management permissions can reset passwords for any account including the super administrator, rebind roles, or delete users via POST /sys/user/update and POST /sys/user/delete endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS