CVE-2026-97063
KrytyczneCVSS 9.1Streszczenie
X-SpringBoot do wersji 6.0 zwraca kody weryfikacyjne logowania w odpowiedziach HTTP z nieuwierzytelnionych endpointów GET /sys/mobile/code i GET /sys/email/code, nie wysyłając ich do właścicieli kont. Atakujący może zażądać kodów dla znanych numerów telefonów lub adresów e-mail, odczytać je z odpowiedzi i zalogować się jako ofiary przez POST /sys/emailOrMobileLogin/login, przejmując konta.
Ocena ryzyka
Atakujący może przejąć dowolne konto, w tym konta uprzywilejowane, bez interakcji z ofiarą. Krytyczne ryzyko dla bezpieczeństwa systemu i danych użytkowników.
Rekomendacja
Zaktualizuj X-SpringBoot do wersji, która nie ujawnia kodów weryfikacyjnych w odpowiedziach HTTP. Do czasu aktualizacji ogranicz dostęp do wymienionych endpointów.
Inne podatności w X-SpringBoot
Zobacz wszystkie- CVE-2026-97060Wysokie
X-SpringBoot do wersji 6.0 nie posiada autoryzacji na poziomie obiektu w endpointach zarządzania użytkownikami. Sub-administratorzy mogą modyfikować lub usuwać użytkowników bez weryfikacji właściciela. Atakujący z uprawnieniami do zarządzania użytkownikami może resetować hasła dowolnego konta, w tym superadministratora, zmieniać role lub usuwać użytkowników przez endpointy POST /sys/user/update i POST /sys/user/delete.
- CVE-2026-97064Krytyczne
X-SpringBoot do wersji 6.0 zawiera zakodowany na stałe statyczny kod weryfikacyjny logowania głównego 172839, domyślnie włączony w seedzie bazy danych. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, podając publiczny kod główny do endpointu emailOrMobileLogin ze znanym adresem e-mail lub numerem telefonu.
Oryginalny opis (angielski, źródło NVD)
X-SpringBoot through 6.0 returns login verification codes in HTTP responses from unauthenticated endpoints GET /sys/mobile/code and GET /sys/email/code without sending them to account owners. Attackers can request codes using known mobile numbers or email addresses, read them from responses, and authenticate as victims via POST /sys/emailOrMobileLogin/login to hijack accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS