CVE-2026-55551
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
ZAC to oparty na przepływie pracy komponent Common Ground o otwartym kodzie źródłowym do zarządzania sprawami komunalnymi w Holandii. Przed wersją 5.2.0 by-id odczytuje punkty końcowe w autoryzacji `src/main/kotlin/nl/info/zac/app/zaak/ZaakRestService.kt` i pomija `assertPolicy`(`policyService.readZaakRechten(zaak).lezen`). `RequestAuthorizationFilter` i `hasAnyApplicationRole` wymagają tylko roli aplikacji dla dowolnego typu zaak, a nie typu przypadku docelowego, podczas gdy `zaak-rechten.rego` wymusza rzeczywistą granicę `zaaktype_allowed` tylko po wywołaniu. Uwierzytelniony użytkownik miejski o niskich uprawnieniach, który zna identyfikator UUID sprawy lub decyzji, może użyć `GET /rest/zaken/besluit/zaakUuid/{uuid}` (`listBesluitenForZaakUUID`) do odczytania decyzji, w tym typów, dat i toelichtów w postaci dowolnego tekstu; `GET /rest/zaken/besluit/{uuid}/historie` (`listBesluitHistorie`) do odczytania starych/nowych wartości audytu; i `GET /rest/zaken/{uuid}/process-diagram` (`downloadProcessDiagram`), aby odczytać stan przepływu pracy BPMN dla nieautoryzowanych typów zaaktype. W poradniku wskazano również, że `zaak/{uuid}/afzender` (`listAfzendersVoorZaak`) ujawnia konfigurację skrzynki pocztowej zaaktype bez sprawdzania zasad. Ścieżka search/_zoek jest poprawnie filtrowana przez autoryzację i nie jest częścią tego klastra odczytu według identyfikatora. Ten problem został rozwiązany w wersji 5.2.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/infonl/dimpact-zaakafhandelcomponent/commit/7b90586be658cec9fa5c98c0838636237f40931f
- https://github.com/infonl/dimpact-zaakafhandelcomponent/commit/d050f247301a1bcfb867015725a693c540a06f5a
- https://github.com/infonl/dimpact-zaakafhandelcomponent/pull/6225
- https://github.com/infonl/dimpact-zaakafhandelcomponent/pull/6229
- https://github.com/infonl/dimpact-zaakafhandelcomponent/releases/tag/v5.2.0
- https://github.com/infonl/dimpact-zaakafhandelcomponent/security/advisories/GHSA-cv9m-35q4-cxfm
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org