CVE-2026-19906
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W bibliotece pkp-lib w wersjach 3.3.0, 3.4.0 i 3.5.0 wykryto słabość w funkcji setData pliku classes/user/form/APIProfileForm.php, dotyczącą generowania kluczy API. Manipulacja argumentem apiKey prowadzi do niewystarczającej entropii. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudną eksploatacją. Dostępna jest poprawka o identyfikatorze 529b5df878e571ccc727647f7748eafc1466b041.
Ocena ryzyka
Ryzyko polega na możliwości przewidzenia lub odgadnięcia kluczy API, co może umożliwić nieautoryzowany dostęp do systemu lub danych. Ze względu na wysoką złożoność ataku, ryzyko jest umiarkowane, ale wciąż istotne.
Rekomendacja
Zaleca się zastosowanie dostępnej poprawki (529b5df878e571ccc727647f7748eafc1466b041) oraz aktualizację biblioteki pkp-lib do najnowszej wersji, aby zapewnić odpowiednią entropię generowanych kluczy.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in pkp pkp-lib 3.3.0/3.4.0/3.5.0. This vulnerability affects the function setData of the file classes/user/form/APIProfileForm.php of the component API Key Generation. Executing a manipulation of the argument apiKey can lead to insufficient entropy. The attack may be performed from remote. This attack is characterized by high complexity. It is stated that the exploitability is difficult. This patch is called 529b5df878e571ccc727647f7748eafc1466b041. It is best practice to apply a patch to resolve this issue.