CVE-2026-97879
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W zhistaredu StarTraining do wersji 3.8.1 włącznie odkryto lukę w nieznanej funkcji pliku SecurityConfig.java komponentu api-docs Endpoint, która prowadzi do braku uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Brak uwierzytelnienia może umożliwić nieautoryzowany dostęp do wrażliwych funkcji API, co może prowadzić do naruszenia danych lub przejęcia systemu.
Rekomendacja
Należy natychmiast sprawdzić dostępność aktualizacji od producenta, a jeśli nie ma, ograniczyć dostęp do api-docs Endpoint i monitorować logi pod kątem nieautoryzowanych żądań.
Inne podatności w StarTraining
Zobacz wszystkie- CVE-2026-100881Niskie
Wykryto podatność w zhistaredu StarTraining do wersji 3.8.1. Dotyczy nieznanego przetwarzania w pliku application.yml. Manipulacja argumentem xss.enabled prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie, ale jest wysoce złożony i trudny do wykorzystania. Exploit został publicznie ujawniony i może być użyty. Nie jest samodzielnie wykorzystywalny: brak obrony w głąb, który wzmacnia CVE-2026-100880. Producent został skontaktowany, ale nie odpowiedział.
- CVE-2026-100879Średnie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji checkRoleAllowed w pliku SysRoleServiceImpl.java komponentu dataScope Endpoint. Manipulacja prowadzi do braku autoryzacji, a atak można przeprowadzić zdalnie.
- CVE-2026-100878Średnie
W zhistaredu StarTraining do wersji 3.8.1 wykryto lukę w funkcji SysUser.isAdmin w pliku edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java komponentu authRole Endpoint. Manipulacja argumentami userId/roleIds prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in zhistaredu StarTraining up to 3.8.1. The affected element is an unknown function of the file SecurityConfig.java of the component api-docs Endpoint. Performing a manipulation results in missing authentication. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS