ثغرة في برنامج WEBCON BPS
CVE ID
CVE-2026-92419
تاريخ النشر
23 سبتمبر 2026
البائع
WEBCON
المنتج
WEBCON BPS
الإصدارات المعرضة للخطر
من 2024.1.1.145 قبل 2025.2.1.177
من 2026.1.1.1 قبل 2026.1.1.20
نوع الثغرة (CWE)
تجاوز التفويض من خلال مفتاح يتحكم فيه المستخدم (CWE-639)
مصدر التقرير
تقرير إلى CERT Polska
الوصف
تلقى CERT Polska تقريرًا عن ثغرة في برنامج WEBCON BPS وشارك في تنسيق الكشف عنها.
الثغرة CVE-2026-92419: برنامج WEBCON BPS معرض لمرجع كائن مباشر غير آمن (IDOR) في نقطة النهاية /api/vacations/{path}. لا يتحقق معلمة selectedPeople في واجهة برمجة تطبيقات مخطط إجازات جانت مما إذا كان المستخدم الذي يقدم الطلب مخولًا للوصول إلى بيانات المستخدمين المطلوبين. يمكن لمهاجم مصدق أن يقدم تسجيلات دخول مستخدمين عشوائية في معلمة selectedPeople لعرض جداول الإجازات لموظفين آخرين، بما في ذلك المديرين والموظفين من مكاتب أخرى، بغض النظر عن قيود الوصول المنطقية للأعمال، مما يؤدي إلى الكشف غير المصرح به عن معلومات جدولة حساسة.
تم إصلاح هذه الثغرة في الإصدارات: 2025.2.1.177 و 2026.1.1.20
الشكر
نشكر روبرت سترزودا على تقرير الثغرة المسؤول.
يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسق عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.