CVE-2026-44846
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.
Ocena ryzyka
Użytkownik z uprawnieniami zapraszania może zmienić role organizacyjne innych użytkowników, co może prowadzić do eskalacji uprawnień lub nieautoryzowanej degradacji administratorów.
Rekomendacja
Zaktualizuj JumpServer do wersji 4.10.17 lub nowszej, aby zapobiec nieautoryzowanym zmianom ról.
Oryginalny opis (angielski, źródło NVD)
JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17, a user with the users.invite_user permission can submit an existing member to POST /api/v1/users/users/invite/, causing the organization invitation logic in apps/users/api/user.py to execute user.org_roles.set(org_roles) and replace the member's existing organization roles, which can escalate privileges or downgrade administrators. This issue is fixed in version 4.10.17.