CVE-2026-111689

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 21/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytywać rekordy użytkowników z dowolnego działu poprzez ignorowanie zakresu danych roli. Atakujący mogą wysyłać żądania GET /xboot/user/getByDepartmentId/{departmentId} z dowolnymi identyfikatorami działów, aby uzyskać nazwy użytkowników, prawdziwe nazwiska, numery telefonów, adresy e-mail i statusy.

Ocena ryzyka

Luka umożliwia nieautoryzowany dostęp do danych osobowych pracowników z innych działów, co może prowadzić do naruszenia prywatności i wykorzystania danych w atakach socjotechnicznych. Organizacja może ponieść straty wizerunkowe i prawne.

Rekomendacja

Należy zaktualizować XBoot do wersji nowszej niż 3.3.4 lub zastosować poprawkę producenta. Zaleca się również weryfikację i wzmocnienie kontroli zakresu danych ról.

Inne podatności w Exrick XBoot

CVE-2026-111688Średnie
Exrick XBoot do wersji 3.3.4 zawiera lukę obejścia autoryzacji, która pozwala uwierzytelnionym użytkownikom ominąć ograniczenia zakresu danych ról poprzez wysłanie openDataFilter=false. Atakujący mogą dołączyć ten parametr do punktów końcowych getByParentId lub search działu, aby uzyskać całe drzewo działów organizacji i nazwy poza przypisanym zakresem.

Oryginalny opis (angielski, źródło NVD)

Exrick XBoot through 3.3.4 contains an authorization bypass vulnerability that allows authenticated users to read user records of any department by ignoring role data scope. Attackers can request GET /xboot/user/getByDepartmentId/{departmentId} with arbitrary department ids to retrieve usernames, real names, mobile numbers, emails and status.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS