CVE-2026-119665

ŚrednieCVSS 6.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

WHartTest w wersjach od 2.2.0 do 2.8.1 zawiera podatność braku autoryzacji w ScheduledTaskViewSet i TaskExecutionViewSet, która pozwala uwierzytelnionym użytkownikom na dostęp do zadań innych projektów. Atakujący mogą ustawić project_pk na sekwencyjny identyfikator innego projektu, aby modyfikować, usuwać lub uruchamiać zaplanowane zadania poprzez run-now oraz czytać logi wykonania.

Ocena ryzyka

Uwierzytelniony użytkownik może modyfikować, usuwać lub uruchamiać zadania innych projektów oraz czytać ich logi, co narusza izolację projektów i integralność danych.

Rekomendacja

Zaktualizuj WHartTest do wersji nowszej niż 2.8.1, jeśli jest dostępna, lub wdróż kontrolę autoryzacji na poziomie projektu w ScheduledTaskViewSet i TaskExecutionViewSet. Monitoruj nietypowe żądania z identyfikatorami project_pk innych projektów.

Inne podatności w WHartTest

CVE-2026-111617Średnie
WHartTest do wersji 2.8.1 zawiera podatność typu brak uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na połączenie z endpointami WebSocket /ws/ui/web/ i /ws/ui/actuator/, ponieważ UiAutomationConsumer akceptuje każde połączenie. Atakujący może zarejestrować aktor z identyfikatorem dostarczonym przez klienta, aby przechwytywać ładunki przypadków testowych innych użytkowników, odbierać wyniki kroków rozgłaszane oraz fałszować wyniki i klatki ekranu w sesjach ofiar.

Oryginalny opis (angielski, źródło NVD)

WHartTest 2.2.0 through 2.8.1 contains a missing authorization vulnerability in ScheduledTaskViewSet and TaskExecutionViewSet that allows authenticated users to access other projects' tasks. Attackers can set project_pk to another project's sequential ID to modify, delete, or trigger scheduled tasks via run-now and read execution logs.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS