CVE-2026-119663

ŚrednieCVSS 4.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Tamery (dawniej Conar) w wersjach od 0.32.0 do 0.99.0 zawiera podatność polegającą na błędnej autoryzacji w obsłudze connectionsResources.create w API synchronizacji w chmurze. Uwierzytelniony użytkownik może dołączać zasoby do połączeń innych użytkowników, podając identyfikator połączenia ofiary w żądaniu zbiorczym.

Ocena ryzyka

Atakujący może wstrzykiwać własne zasoby do połączeń ofiary, co prowadzi do naruszenia integralności danych i potencjalnego ujawnienia informacji. Wymaga to jedynie posiadania własnego połączenia i konta w systemie.

Rekomendacja

Zaktualizuj Tamery do wersji 0.99.0 lub nowszej. Dodatkowo zweryfikuj, czy operacje na zasobach sprawdzają uprawnienia do połączenia, do którego są dołączane.

Inne podatności w Tamery

CVE-2026-119664Średnie
Tamery (dawniej Conar) w wersji 0.26.1 przed 0.99.0 zawiera podatność obejścia autoryzacji w obsłudze chatsMessages.update API synchronizacji w chmurze, która pozostawia dostarczony przez klienta chatId jako zapisywalny. Uwierzytelnieni subskrybenci Pro, którzy znają identyfikator czatu innego użytkownika, mogą przenosić wiadomości z dowolnymi częściami i metadanymi do historii czatu AI ofiary.

Oryginalny opis (angielski, źródło NVD)

Tamery (formerly Conar) 0.32.0 before 0.99.0 contains a broken authorization vulnerability in the cloud sync API connectionsResources.create handler that allows authenticated users to attach resources to other users' connections. Attackers owning one connection can include a victim's connectionId in a batch request to insert attacker-named resource rows listed by the victim's client.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS