CVE-2026-119646
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Open Web Analytics przed wersją 1.14.1 zawiera podatność autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać dane raportów innych witryn, ponieważ raporty clickstream i transakcji nie są ograniczone do autoryzowanego siteId. Użytkownicy z uprawnieniem view_reports dla jednej witryny mogą podać jej siteId wraz z session_id lub order_id innej witryny, aby odczytać historię odwiedzin, adresy IP, user agentów i dane zamówień.
Ocena ryzyka
Użytkownik z uprawnieniami do raportów jednej witryny może uzyskać dane analityczne, adresy IP i informacje o zamówieniach innych witryn, co stanowi naruszenie poufności i może prowadzić do wycieku danych klientów.
Rekomendacja
Zaktualizuj Open Web Analytics do wersji 1.14.1 lub nowszej i zweryfikuj, czy raporty są prawidłowo ograniczane do autoryzowanego siteId.
Inne podatności w Open Web Analytics
Zobacz wszystkie- CVE-2026-97865Wysokie
W Open-Web-Analytics do wersji 1.8.1 wykryto lukę bezpieczeństwa w funkcji Event::loadFromArray w pliku queue.php komponentu Remote Event Queue Endpoint. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Aktualizacja do wersji 1.8.2 rozwiązuje problem.
- CVE-2026-86810Wysokie
W Open-Web-Analytics do wersji 1.9.1 wykryto podatność w funkcji checkCapabilityAndAuthenticateUser w pliku Core/Controller.php komponentu Controller. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.10.0 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
Open Web Analytics before 1.14.1 contains an authorization vulnerability that allows authenticated users to read other sites' report data because clickstream and transaction reports are not scoped to the authorized siteId. Users with view_reports on one site can supply that siteId with another site's session_id or order_id to read its visit history, IP addresses, user agents and order data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS