CVE-2026-97865
WysokieCVSS 7.3Streszczenie
W Open-Web-Analytics do wersji 1.8.1 wykryto lukę bezpieczeństwa w funkcji Event::loadFromArray w pliku queue.php komponentu Remote Event Queue Endpoint. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Aktualizacja do wersji 1.8.2 rozwiązuje problem.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność deserializacji do wykonania nieautoryzowanych operacji, co może prowadzić do przejęcia kontroli nad aplikacją.
Rekomendacja
Zaktualizuj Open-Web-Analytics do wersji 1.8.2 lub nowszej, która zawiera poprawkę.
Inne podatności w Open-Web-Analytics
Zobacz wszystkie- CVE-2026-119646Średnie
Open Web Analytics przed wersją 1.14.1 zawiera podatność autoryzacji, która pozwala uwierzytelnionym użytkownikom czytać dane raportów innych witryn, ponieważ raporty clickstream i transakcji nie są ograniczone do autoryzowanego siteId. Użytkownicy z uprawnieniem view_reports dla jednej witryny mogą podać jej siteId wraz z session_id lub order_id innej witryny, aby odczytać historię odwiedzin, adresy IP, user agentów i dane zamówień.
- CVE-2026-86810Wysokie
W Open-Web-Analytics do wersji 1.9.1 wykryto podatność w funkcji checkCapabilityAndAuthenticateUser w pliku Core/Controller.php komponentu Controller. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.10.0 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Open-Web-Analytics up to 1.8.1. Affected is the function Event::loadFromArray of the file queue.php of the component Remote Event Queue Endpoint. Performing a manipulation results in deserialization. The attack can be initiated remotely. Upgrading to version 1.8.2 is able to address this issue. The patch is named 78c1222ec0e2119d84684032da1541120a2cdd23. The affected component should be upgraded.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS