آسیب‌پذیری در نرم‌افزار WEBCON BPS
CVE ID
CVE-2026-92419
تاریخ انتشار
23 سپتامبر 2026
فروشنده
WEBCON
محصول
WEBCON BPS
نسخه‌های آسیب‌پذیر
از 2024.1.1.145 قبل از 2025.2.1.177
از 2026.1.1.1 قبل از 2026.1.1.20
نوع آسیب‌پذیری (CWE)
عبور از مجوز از طریق کلید کنترل‌شده توسط کاربر (CWE-639)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری در نرم‌افزار WEBCON BPS دریافت کرده و در هماهنگی افشای آن شرکت کرده است.
آسیب‌پذیری CVE-2026-92419: WEBCON BPS در نقطه پایانی /api/vacations/{path} به آسیب‌پذیری ارجاع مستقیم شی ناامن (IDOR) آسیب‌پذیر است. پارامتر selectedPeople در API نمودار تعطیلات گانت اعتبارسنجی نمی‌کند که آیا کاربر درخواست‌کننده مجاز به دسترسی به داده‌های کاربران درخواست‌شده است یا خیر. یک مهاجم تأییدشده می‌تواند ورود به سیستم کاربران دلخواه را در پارامتر selectedPeople ارائه دهد تا برنامه‌های تعطیلات سایر کارکنان، از جمله مدیران و کارکنان از دفاتر دیگر را مشاهده کند، بدون توجه به محدودیت‌های دسترسی منطق کسب‌وکار، که منجر به افشای غیرمجاز اطلاعات حساس برنامه‌ریزی می‌شود.
این آسیب‌پذیری در نسخه‌های: 2025.2.1.177 و 2026.1.1.20 اصلاح شده است.
اعتبارات
ما از رابرت استرودا برای گزارش مسئولانه آسیب‌پذیری تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.