CVE-2026-26053
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowego przypisania uprawnień (CWE-266) w Command Centre Server umożliwia uwierzytelnionemu operatorowi z ograniczonymi uprawnieniami wykonanie operacji, do których normalnie nie byłby upoważniony. Problem dotyczy wersji 9.50 przed MR1, 9.40 przed MR3, 9.30 przed MR5, 9.20 przed MR7 oraz wszystkich wersji 9.10.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień przez operatora, co może prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji systemu, potencjalnie naruszając integralność i poufność danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Command Centre Server do wersji: 9.50 MR1, 9.40 MR3, 9.30 MR5, 9.20 MR7 lub nowszej. Dla wersji 9.10 zaleca się migrację do wspieranej wersji.
Inne podatności w Command Centre Server
Zobacz wszystkie- CVE-2026-20757Niskie
Podatność nieprawidłowego blokowania (CWE-667) w integracji Gallagher Morpho pozwala uprzywilejowanemu operatorowi na spowodowanie ograniczonej odmowy usługi w serwerze Command Centre Server. Problem dotyczy wersji 9.40 przed vEL9.40.1976(MR1), 9.30 przed vEL9.30.3382 (MR4), 9.20 przed vEL9.20.3783 (MR6), 9.10 przed vEL9.10.4647 (MR9) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-64734Niskie
W czytniku T21 występuje brak zwalniania zasobów po zakończeniu ich życia (CWE-772), co pozwala atakującemu z fizycznym dostępem do czytnika przeprowadzić atak typu denial-of-service na ten konkretny czytnik, uniemożliwiając kartom dostępu wejście. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-52578Średnie
W High Sec ELM występuje nieprawidłowe użycie ziaren w generatorze liczb pseudolosowych (CWE-335), co może pozwolić zaawansowanemu atakującemu z fizycznym dostępem na przejęcie wewnętrznej komunikacji urządzenia. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a (dystrybuowanych w 9.30.2881 (MR3)), 9.20 przed vCR9.20.251028a (dystrybuowanych w 9.20.3265 (MR5)), 9.10 przed vCR9.10.251028a (dystrybuowanych w 9.10.4135 (MR8)) oraz wszystkich wersji 9.00 i wcześniejszych.
- CVE-2025-52457Średnie
W urządzeniach HBUS występuje rozbieżność czasowa (CWE-208), która może pozwolić atakującemu z fizycznym dostępem do urządzenia na wyodrębnienie kluczy specyficznych dla urządzenia. Może to potencjalnie zagrozić dalszemu bezpieczeństwu obiektu. Problem dotyczy Command Centre Server w wersjach 9.30 przed vCR9.30.251028a, 9.20 przed vCR9.20.251028a, 9.10 przed vCR9.10.251028a oraz wszystkich wersji 9.00 i starszych.
- CVE-2025-48430Średnie
W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.
- CVE-2025-41402Średnie
W serwerze Command Centre występuje podatność Client-Side Enforcement of Server-Side Security (CWE-602), która pozwala uprzywilejowanemu operatorowi wprowadzić nieprawidłowe dane kompetencji, omijając sprawdzanie wygaśnięcia. Podatność dotyczy wersji 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7) oraz wszystkich wersji 9.00 i starszych.
- CVE-2025-35981Średnie
W serwerze Command Centre Server występuje ujawnienie prywatnych danych osobowych nieautoryzowanemu podmiotowi (CWE-359), które pozwala uprzywilejowanemu operatorowi na przeglądanie ograniczonych danych osobowych posiadacza karty, do których normalnie nie ma uprawnień. Podatność dotyczy wersji: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).
Oryginalny opis (angielski, źródło NVD)
An Incorrect Privilege Assignment (CWE-266) vulnerability in the Command Centre Server allows an authenticated operator with limited privileges to perform some operations that they would not normally be authorized to perform. Version of Command Centre affected: 9.50 prior to vEL9.50.1587(MR1), 9.40 prior to vEL9.40.3130(MR3), 9.30 prior to vEL9.30.3983(MR5), 9.20 prior to vEL9.20.4349(MR7), all versions of 9.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS