CVE-2026-5378
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W runZero Platform rozwiązano problem, który pozwalał administratorom na tworzenie i aktualizowanie użytkowników poza ich autoryzowanym zakresem organizacyjnym. Jest to przykład CWE-863: Nieprawidłowa autoryzacja, o szacowanej ocenie CVSS 5.8 (średnia). Problem naprawiono w wersji 4.0.260203.0.
Ocena ryzyka
Nieprawidłowa autoryzacja może pozwolić administratorom na nieuprawnione zarządzanie kontami użytkowników w innych organizacjach, co narusza izolację i może prowadzić do eskalacji uprawnień. Może to skutkować nieautoryzowanym dostępem do danych lub konfiguracji.
Rekomendacja
Należy zaktualizować runZero Platform do wersji 4.0.260203.0 lub nowszej. Zaleca się również przegląd uprawnień administratorów i audyt działań na kontach użytkowników.
Inne podatności w runZero Platform
Zobacz wszystkie- CVE-2026-81846Niskie
Podatność w usłudze MCP platformy runZero umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Problem został naprawiony w wersji 5.1.260826.0, a szacunkowy wskaźnik CVSS wynosi 3.5 (niski).
- CVE-2026-7778Średnie
Rozwiązano problem, który mógł pozwolić na wyświetlenie konfiguracji dashboardu spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-269: Niewłaściwe zarządzanie uprawnieniami, o szacowanym wyniku CVSS 5.0 (średni). Problem naprawiono w wersji v4.0.260416.0 platformy runZero.
- CVE-2026-5384Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić na aktualizację poświadczeń i użycie ich do zadania spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
- CVE-2026-5382Niskie
Rozwiązano problem, który mógł ujawniać rekordy poza autoryzowanym zakresem organizacji poprzez punkty końcowe MCP. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 3.0 (Low). Problem naprawiono w wersji 4.0.260206.0 platformy runZero.
- CVE-2026-5381Niskie
Rozwiązano problem, który mógł ujawniać informacje o zadaniach poza autoryzowanym zakresem organizacji. Jest to przypadek CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 2.2 (Low). Problem naprawiono w wersji 4.0.260205.0 platformy runZero.
- CVE-2026-5380Średnie
W platformie runZero rozwiązano problem, który mógł pozwolić autoryzowanemu użytkownikowi na przeglądanie jawnych sekretów dla podzbioru typów poświadczeń i pól. Jest to instancja CWE-522: Niewystarczająca ochrona poświadczeń, o szacowanym wyniku CVSS 5.3 (średni). Podatność została naprawiona w wersji 4.0.260204.2.
- CVE-2026-5379Niskie
Rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o certyfikatach spoza ich autoryzowanego zakresu organizacji. Jest to przypadek CWE-863 (nieprawidłowa autoryzacja) o szacowanym CVSS 3.0 (Low). Podatność naprawiono w wersji 4.0.260203.0 platformy runZero.
- CVE-2026-5376Średnie
W platformie runZero rozwiązano problem, który mógł uniemożliwić wyzwalanie limitów czasu bezczynności sesji z powodu automatycznego przeładowywania strony. Jest to instancja CWE-613: Niewystarczająca kontrola zasobów po wygaśnięciu lub zwolnieniu, o szacowanym wyniku CVSS 5.9 (średni).
- CVE-2026-5375Niskie
W platformie runZero rozwiązano problem, który mógł pozwolić użytkownikowi posiadającemu dane uwierzytelniające na przeglądanie poufnych pól poprzez odpowiedź API. Jest to wystąpienie CWE-200: ujawnienie poufnych informacji nieuprawnionemu podmiotowi, o szacowanym wyniku CVSS 2.7 (Low). Problem naprawiono w wersji 4.0.260203.0.
- CVE-2026-5374Średnie
W platformie runZero rozwiązano problem, który pozwalał agentom MCP na dostęp do informacji o remediacji i zasobach spoza autoryzowanego zakresu organizacji. Jest to instancja CWE-863: Nieprawidłowa autoryzacja, o szacowanym wyniku CVSS 5.8 (średni).
Oryginalny opis (angielski, źródło NVD)
An issue that allowed administrators to create and update users outside of their authorized organization scope has been resolved. This is an instance of CWE-863: Incorrect Authorization, and has an estimated CVSS score of CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:H/A:N (5.8 Medium). This issue was fixed in version 4.0.260203.0 of the runZero Platform.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS