CVE-2026-42303

ŚrednieCVSS 6.1

Opublikowano: 12/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W platformie Fides w wersjach od 2.75.0 do przed 2.83.2, przy włączonej weryfikacji tożsamości podmiotu i wykrywaniu duplikatów wniosków o prywatność, administrator może zatwierdzić wniosek o niezweryfikowanej tożsamości. W przypadku polityk usuwania może to skutkować nieautoryzowanym usunięciem danych podmiotu we wszystkich integracjach.

Ocena ryzyka

Nieuprawnione zatwierdzenie wniosku może doprowadzić do masowego usunięcia danych osobowych, co stanowi poważne naruszenie prywatności i zgodności.

Rekomendacja

Zaktualizuj Fides do wersji 2.83.2 lub nowszej i zweryfikuj proces zatwierdzania wniosków o usunięcie danych.

Inne podatności w Fides

CVE-2026-44541Wysokie
Fides to platforma inżynierii prywatności open-source. W wersjach od 2.33.0 do 2.84.4 występuje podatność DOM-based XSS w fides.js poprzez parametr fides_description. Problem został naprawiony w wersji 2.84.5.

Oryginalny opis (angielski, źródło NVD)

Fides is an open-source privacy engineering platform. From 2.75.0 to before 2.83.2, Fides deployments that enable both subject identity verification and duplicate privacy request detection are affected by a vulnerability in which an administrator can approve a privacy request whose identity was never verified. For erasure policies, this can result in unauthorized deletion of a data subject's records across every integration configured in the affected deployment. This vulnerability is fixed in 2.83.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS