CVE-2026-9589
KrytyczneCVSS 9.3Streszczenie
Brak autoryzacji w operacjach kaskadowej konfiguracji Collaboration Server w Unblu Spark 7.0 do 8.36.1-hotfix.0 (on-premises i chmura). Uwierzytelniony zdalny atakujący może odczytywać i zmieniać właściwości konfiguracji encji, do których nie ma uprawnień, w tym innych użytkowników, kont, a w Unblu Cloud także kont innych klientów.
Ocena ryzyka
Uwierzytelniony atakujący może modyfikować konfigurację innych użytkowników i kont, a w chmurze również innych klientów, co narusza izolację danych i bezpieczeństwo konfiguracji.
Rekomendacja
Zaktualizuj Unblu Spark do wersji nowszej niż 8.36.1-hotfix.0 i przejrzyj ustawienia walidacji konfiguracji.
Inne podatności w Unblu Spark
Zobacz wszystkie- CVE-2026-14933Wysokie
W funkcji co-browsing w Unblu Spark 7.0–7.57.7 i 8.0–8.39.2 (on-premises i cloud) nieuwierzytelniony zdalny atakujący w roli odwiedzającego może wykonać dowolny JavaScript w przeglądarce agenta uczestniczącego w sesji co-browsing, poprzez treść strony renderowaną jako HTML. JavaScript działa w kontekście i pod tożsamością sesji agenta w Agent Desk lub Single Conversation Desk. Wykorzystanie wymaga dołączenia agenta do sesji z atakującym; mobilny co-apping nie jest dotknięty.
- CVE-2026-8152Krytyczne
Unblu Spark zawiera podatność na otwarte przekierowanie, którą można eskalować do ataku XSS opartego na DOM. Gdy komponent jest wdrożony z określoną konfiguracją, działa w tym samym pochodzeniu co aplikacja hostująca, co pozwala atakującemu na pełny dostęp do jej zasobów.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in the configuration cascade operations of the Collaboration Server in Unblu inc. Unblu Spark 7.0 through 8.36.1-hotfix.0, on on-premises and cloud deployments, allows an authenticated remote attacker to read and change configuration properties of entities they aren't authorized to access, including other users, other accounts and, in Unblu Cloud, other customers' accounts, via configuration read and write operations that target those entities. The Collaboration Server doesn't check whether the user reading or changing configuration has access to the entity the configuration belongs to. With certain non-default configuration validation settings, a registered user can additionally write configuration properties they aren't allowed to edit, in any scope. Exploitation requires an authenticated session but no user interaction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS