CVE-2026-109431
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest. Uwierzytelniony atakujący bez przyznanych uprawnień może uzyskać dostęp do komentarzy i załączników zadań oraz je usuwać, wywołując pojedyncze punkty końcowe odczytu i usuwania, które nie mają filtrów autoryzacji stosowanych w odpowiadających im punktach końcowych listy.
Ocena ryzyka
Atakujący może odczytać lub pobrać załączniki i komentarze zadań oraz trwale usuwać załączniki, znając jedynie identyfikator obiektu. Narusza to poufność i integralność danych w systemie workflow.
Rekomendacja
Zaktualizuj Camunda do wersji 7.24.14 lub 7.23.17 (lub nowszej). Do czasu aktualizacji ogranicz dostęp do API engine-rest i monitoruj nietypowe wywołania punktów końcowych zadań.
Inne podatności w Camunda
Zobacz wszystkie- CVE-2026-109432Krytyczne
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
- CVE-2026-109433Średnie
Camunda 7.24.0 przed 7.24.16 i 7.23.0 przed 7.23.17 zawiera podatność obejścia autoryzacji w aplikacji Cockpit, która pozwala uwierzytelnionym atakującym obejść sprawdzanie uprawnień z powodu odwróconej logiki porównania w AbstractCockpitPluginResource.isPermissionDisabled().
- CVE-2026-77226Wysokie
Camunda 7.24.0 przed 7.24.15 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym pierwszego uruchomienia aplikacji Admin, gdzie SetupResource błędnie ustala dostępność konfiguracji, licząc tylko bezpośrednich członków grupy camunda-admin. Nieuwierzytelniony zdalny atakujący może wykorzystać tę wadę logiki, aby wywołać punkt końcowy tworzenia użytkownika i utworzyć nowe konto administratora, gdy grupa camunda-admin jest pusta, ale system jest w pełni zarządzany.
Oryginalny opis (angielski, źródło NVD)
Camunda 7.24.0 before 7.24.14 and 7.23.0 before 7.23.17 contains a missing authorization check vulnerability in engine-rest task sub-resources that allows authenticated attackers with no permission grants to access task comments and attachments by calling singular read and delete endpoints that lack the authorization-filtered checks enforced on their corresponding list endpoints. Using only a known object ID, attackers can exploit TaskAttachmentResourceImpl and TaskCommentResourceImpl methods such as getAttachment, getAttachmentData, deleteAttachment, and getComment to read or download task attachments and comments and to permanently delete task attachments.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS