CVE-2025-58579
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Z powodu braku uwierzytelniania nieuwierzytelniony użytkownik może zażądać danych z tego punktu końcowego, co czyni aplikację podatną na enumerację użytkowników.
Ocena ryzyka
Atakujący może zebrać informacje o istniejących kontach użytkowników, co może ułatwić przeprowadzenie ataków ukierunkowanych, takich jak brute force lub phishing. Stanowi to naruszenie poufności i może prowadzić do dalszych kompromitacji.
Rekomendacja
Należy wdrożyć uwierzytelnianie dla tego punktu końcowego lub ograniczyć ujawniane informacje. Zaleca się również monitorowanie nietypowych żądań i wdrożenie mechanizmów rate limiting.
Inne podatności w Unknown application
Zobacz wszystkie- CVE-2026-50208Krytyczne
Wysokiego ryzyka procedury TrustAllCerts wyłączają standardową walidację certyfikatów TLS. W połączeniu z zakodowanymi na stałe kluczami szyfrowania DES, atakujący typu Man-in-the-Middle może odszyfrować ruch sieciowy.
- CVE-2026-14953Średnie
Zdalny atakujący z niskimi uprawnieniami może wyliczyć wszystkich skonfigurowanych użytkowników i zidentyfikować konta z podwyższonymi uprawnieniami, korzystając z punktu końcowego /api/user/fetch-all.php.
- CVE-2026-14949Średnie
Zdalny atakujący z niskimi uprawnieniami i ważną sesją może utworzyć nowe konta użytkowników z dowolnymi wartościami ról, w tym z najwyższym poziomem uprawnień, korzystając z funkcji /api/user/add.php.
- CVE-2025-58581Średnie
Gdy wystąpi błąd w aplikacji, użytkownik otrzymuje pełny ślad stosu. Ślad stosu zawiera nazwy klas i metod oraz inne wewnętrzne informacje. Atakujący może w ten sposób uzyskać informacje o zastosowanej technologii i strukturze aplikacji.
Oryginalny opis (angielski, źródło NVD)
Due to a lack of authentication, it is possible for an unauthenticated user to request data from this endpoint, making the application vulnerable for user enumeration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS