CVE-2025-63248
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
DWSurvey 6.14.0 jest podatny na nieprawidłową kontrolę dostępu. Przy usuwaniu ankiety podmiana identyfikatora ankiety na identyfikator innej ankiety umożliwia usunięcie cudzych ankiet.
Ocena ryzyka
Uwierzytelniony użytkownik może usuwać ankiety należące do innych osób, co narusza integralność danych i poufność. Może prowadzić do utraty danych lub sabotażu.
Rekomendacja
Zaktualizuj DWSurvey do wersji z poprawką lub wdróż weryfikację uprawnień do zasobów po stronie serwera. Ogranicz możliwość usuwania ankiet do ich właścicieli.
Inne podatności w DWSurvey
Zobacz wszystkie- CVE-2026-75325Krytyczne
DWSurvey v6.14.0 jest podatny na obejście uwierzytelniania poprzez parametry '/api/dwsurvey/none/' i '/api/dwsurvey/up/**'.
- CVE-2026-18723Średnie
Podatność w DWSurvey do wersji 6.14.0 dotyczy nieznanej funkcji w pliku /api/dwsurvey/app/survey/up-survey-status.do komponentu Survey Status Handler. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-18722Średnie
W produkcie DWSurvey do wersji 6.14.0 znaleziono podatność w funkcji DwDeisgnSurveyController.devSurvey w pliku /api/dwsurvey/app/v6/dw-design-survey/dev-survey.do. Manipulacja prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
DWSurvey 6.14.0 is vulnerable to Incorrect Access Control. When deleting a questionnaire, replacing the questionnaire ID with the ID of another questionnaire can enable the deletion of other questionnaires.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS