Vulnerabilitas in software WEBCON BPS
CVE ID
CVE-2026-92419
Publication date
23 Septembris 2026
Vendor
WEBCON
Product
WEBCON BPS
Vulnerable versions
A 2024.1.1.145 ante 2025.2.1.177
A 2026.1.1.1 ante 2026.1.1.20
Vulnerability type (CWE)
Transitus authorizationis per Clavis User-Controlled (CWE-639)
Report source
Relatio ad CERT Polska
Description
CERT Polska relationem de vulnerabilitate in software WEBCON BPS accepit et in coordinatione eius revelationis participavit.
Vulnerabilitas CVE-2026-92419: WEBCON BPS vulnerabilis est ad Insecure Direct Object Reference (IDOR) in /api/vacations/{path} puncto. Parametrus selectedPeople in API chartae vacationis Gantt non confirmat an usor petens auctoritate ad data usorum petitorum accedat. Impugnator authentificatus arbitrarios usorum logins in parametro selectedPeople praebere potest ut vacationis schedulas aliorum operariorum, inclusis moderatoribus et staff ex aliis officiis, spectet, sine respectu ad restrictiones accessus logicae negotii, quod ad revelationem non auctoritate informationis sensitivae de schedulando perducit.
Haec vulnerabilitas in versionibus: 2025.2.1.177 et 2026.1.1.20 emendata est.
Credits
Gratias agimus Roberto Strzoda pro responsabili relatione vulnerabilitatis.
Plura de processu coordinationis revelationis vulnerabilitatis apud CERT Polska in https://cert.pl/en/cvd/ inveniuntur.