CVE-2026-7003
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
WIT SynApps Runtime do wersji 1.4.11 zawiera podatność związaną z zaszytymi na stałe poświadczeniami. Statyczne wartości OAuth clientId i clientSecret są osadzone w JavaScripcie dostarczanym do frontendu (np. w parameters.js), co pozwala nieuwierzytelnionemu atakującemu je odzyskać.
Ocena ryzyka
Atakujący może wykorzystać ujawnione dane uwierzytelniające do odtworzenia części aplikacyjnej przepływu uwierzytelniania REDY na endpointcie /web/api/v1/auth/token, podważając zaufanie do implementacji OAuth jako klienta poufnego.
Rekomendacja
Usuń statyczne poświadczenia OAuth z kodu JavaScript dostarczanego do przeglądarki i przenieś je na stronę serwera. Wdróż rotację ujawnionych clientId/clientSecret oraz aktualizację do wersji bez zaszytych sekretów.
Inne podatności w WIT SynApps Runtime
Zobacz wszystkie- CVE-2026-7005Średnie
Podatność typu cross-origin request forgery w WIT SynApps Runtime do wersji 1.4.11 pozwalająca atakującym podać dowolny adres docelowy podczas wdrażania kontrolera, co powoduje wysyłanie przez przeglądarkę ofiary żądań odkrywania do hostów wskazanych przez atakującego. Atakujący może wykorzystać przeglądarkę ofiary do sondowania adresów loopback, lokalnych nazw hostów lub hostów wewnętrznych i inicjowania procesu rejestracji w instancjach REDY, przekraczając granice segmentacji IT/OT.
- CVE-2026-7004Średnie
Podatność typu pre-authentication reflected cross-site scripting w WIT SynApps Runtime do wersji 1.4.11 pozwalająca nieuwierzytelnionym atakującym wstrzyknąć i wykonać dowolny JavaScript poprzez spreparowany parametr zapytania LINK wysłany do punktu końcowego /System/Session-1. Atakujący mogą wykorzystać tę lukę do przechwytywania poświadczeń, manipulacji procesem logowania, dostępu do danych widocznych w przeglądarce i wykonywania żądań same-origin do punktów końcowych kontrolera.
Oryginalny opis (angielski, źródło NVD)
WIT SynApps Runtime through 1.4.11 contains a hardcoded credentials vulnerability that allows unauthenticated attackers to recover static OAuth clientId and clientSecret values embedded in JavaScript delivered to the frontend, such as in parameters.js. Attackers can extract these exposed application credentials to reproduce the application portion of the REDY authentication flow at the /web/api/v1/auth/token endpoint, undermining confidential-client assurance for the OAuth implementation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS