CVE-2026-33920

NiskieCVSS 3.5

Opublikowano: 08/09/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 08/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

W funkcji logowania (standardowej i SAML) wykryto podatność na cross-site request forgery z powodu braku walidacji tokenu anty-CSRF. Atakujący z ważnym kontem może nakłonić ofiarę do uwierzytelnienia się przy użyciu danych atakującego, a wszystkie operacje wykonane przez ofiarę w tym stanie są przypisywane do konta atakującego.

Ocena ryzyka

Ryzyko obejmuje naruszenie integralności dziennika audytowego oraz możliwość wykonania nieautoryzowanych operacji w imieniu atakującego, co może prowadzić do eskalacji uprawnień lub manipulacji danymi.

Rekomendacja

Zaleca się wdrożenie poprawek zapewniających walidację tokenu anty-CSRF w procesie logowania oraz rozważenie dodatkowych mechanizmów ochrony, takich jak weryfikacja pochodzenia żądań.

Inne podatności w Login functionality

CVE-2026-43838Krytyczne
Podatność na przepełnienie bufora stosu w funkcji logowania może pozwolić atakującemu na wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

A cross-site request forgery vulnerability was discovered in the login functionality (both standard and SAML) due to missing validation of the anti-CSRF token. An attacker with a valid account can trick a victim into unknowingly authenticating with the attacker's credentials. Any operation performed by the victim in this state is attributed to the attacker's account, compromising the integrity of the audit trail.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS