CVE-2026-54657
ŚrednieCVSS 6.5Streszczenie
W Open Zaak od wersji 1.0.0 do 1.27.2, 1.28.2 i 1.29.0 endpointy wyszukiwania POST /zaken/api/v1/zaken/_zoek oraz /documenten/api/v1/enkelvoudiginformatieobjecten/_zoek nie filtrują zbiorów wyników zgodnie z uprawnieniami powiązanymi z tokenem żądania. Wywołujący z ważnym tokenem zaken.lezen lub documenten.lezen może pobrać metadane spraw lub dokumentów spoza autoryzowanych typów lub poziomów poufności.
Ocena ryzyka
Atakujący z ważnym tokenem odczytu może uzyskać metadane spraw lub dokumentów, do których nie ma uprawnień, co stanowi naruszenie kontroli dostępu i wyciek informacji.
Rekomendacja
Zaktualizuj Open Zaak do wersji 1.27.2, 1.28.2 lub 1.29.0 (lub nowszej), które naprawiają tę podatność.
Inne podatności w Open Zaak
Oryginalny opis (angielski, źródło NVD)
Open Zaak is an open-source data and services layer for Dutch case-oriented working. From 1.0.0 until 1.27.2, 1.28.2, and 1.29.0, the POST search endpoints /zaken/api/v1/zaken/_zoek and /documenten/api/v1/enkelvoudiginformatieobjecten/_zoek do not filter result querysets according to the authorizations associated with the request token. A caller with a valid zaken.lezen or documenten.lezen token can therefore retrieve case or document metadata outside the token's authorized types or confidentiality levels. Document searches require known UUIDs, and document content remains protected by separate download authorization. This issue is fixed in versions 1.27.2, 1.28.2, and 1.29.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS