CVE-2026-107186

WysokieCVSS 8.6

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Nieuwierzytelniony użytkownik może wysłać żądanie DWR z isPasswordUppercase jako metodą wywołania, a następną metodą może być uruchomienie reguły workflow. Pozwala to na uruchamianie reguł workflow bez uwierzytelnienia.

Ocena ryzyka

Brak uwierzytelnienia przy uruchamianiu reguł workflow może pozwolić atakującemu na wykonywanie nieautoryzowanych działań w systemie, co może prowadzić do naruszenia integralności i poufności.

Rekomendacja

Zainstaluj poprawkę producenta i ogranicz dostęp do endpointów DWR oraz reguł workflow do zaufanych sieci.

Inne podatności w DWR

CVE-2026-107187Wysokie
Użytkownik może uzyskać dostęp do szczegółów dowolnej bazy danych, w tym nazw użytkowników i haseł, wysyłając żądanie DWR z określoną regułą workflow. Luka w obejściu uwierzytelniania może być łączona z tą podatnością w celu odczytu bazy danych bez uwierzytelnienia; możliwe są również operacje zapisu i usuwania, choć nie zostało to przetestowane.

Oryginalny opis (angielski, źródło NVD)

An unauthenticated user can send a DWR request with isPasswordUppercase as one call method and the next call method can be set to a run workflow rule. This allows for workflow rules to be run without authentication.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS