CVE-2026-48243
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Open ISES Tickets przed wersją 3.44.2 w pliku wp1.php osadzono na stałe klucz API do usługi WhitePages reverse-phone. Klucz ten jest publicznie dostępny w repozytorium źródłowym, co pozwala każdemu z dostępem do kodu na jego odczytanie i wykorzystanie do wykonywania zapytań do API stron trzecich.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym użyciu klucza API, co może skutkować naliczeniem opłat lub ograniczeniem przepustowości na koncie właściciela WhitePages. Organizacja może ponieść nieoczekiwane koszty oraz utratę dostępu do usługi.
Rekomendacja
Należy natychmiast zaktualizować Open ISES Tickets do wersji 3.44.2 lub nowszej, a także unieważnić i wygenerować nowy klucz API WhitePages. Dodatkowo warto usunąć klucz z repozytorium i sprawdzić, czy nie został skompromitowany.
Oryginalny opis (angielski, źródło NVD)
Open ISES Tickets before 3.44.2 embeds a hardcoded WhitePages reverse-phone API key in wp1.php that is committed to the public source repository. Any actor with read access to the source tree can extract the key and use it to make third-party API calls billed to or rate-limited against the original owner's WhitePages account.