CVE-2026-100177
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Interfejs API tworzenia zadań przeszukiwacza AIL Framework (api_add_crawler_task) zawierał niewystarczającą kontrolę autoryzacji, gdy użytkownik podał identyfikator UUID pliku cookiejar w celu dołączenia do jednorazowego lub zaplanowanego zadania przeszukiwacza. Oryginalny kod jedynie sprawdzał, czy plik cookiejar istnieje i, jeśli jego poziom dostępu wynosił 0, porównał identyfikator użytkownika będącego właścicielem pliku cookie z identyfikatorem użytkownika żądającego. Nie sprawdzał granic organizacyjnych, nie uwzględniał roli użytkownika żądającego. Gdy poziom pliku cookie był inny niż 0, w ogóle nie przeprowadzano kontroli dostępu. Uwierzytelniony użytkownik może zatem odwoływać się do pliku cookie innej organizacji za pomocą UUID i pozwolić przeszukiwaczowi używać przechowywanych plików cookie tej organizacji (tokenów sesji, danych uwierzytelniających) podczas przeszukiwania sieci, skutecznie wyciekając lub wydobywając dane sesji organizacji ofiary.
Luka wymaga uwierzytelnionego użytkownika z możliwością tworzenia zadań przeszukiwacza. Osoba atakująca musi znać lub odgadnąć prawidłowy identyfikator UUID pliku cookie należący do innej organizacji. Skutkiem jest nieautoryzowany dostęp do plików cookie i danych sesji przechowywanych przez inną organizację za pośrednictwem infrastruktury przeszukiwacza.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org