Уязвимость в программном обеспечении WEBCON BPS
CVE ID
CVE-2026-92419
Дата публикации
23 сентября 2026
Поставщик
WEBCON
Продукт
WEBCON BPS
Уязвимые версии
С 2024.1.1.145 до 2025.2.1.177
С 2026.1.1.1 до 2026.1.1.20
Тип уязвимости (CWE)
Обход авторизации через контролируемый пользователем ключ (CWE-639)
Источник отчета
Отчет в CERT Polska
Описание
CERT Polska получил отчет об уязвимости в программном обеспечении WEBCON BPS и участвовал в координации его раскрытия.
Уязвимость CVE-2026-92419: WEBCON BPS подвержен небезопасной прямой ссылке на объект (IDOR) в конечной точке /api/vacations/{path}. Параметр selectedPeople в API диаграммы отпусков Gantt не проверяет, имеет ли запрашивающий пользователь право доступа к данным запрашиваемых пользователей. Аутентифицированный злоумышленник может предоставить произвольные логины пользователей в параметре selectedPeople, чтобы просмотреть графики отпусков других сотрудников, включая менеджеров и персонал из других офисов, независимо от ограничений доступа по бизнес-логике, что приводит к несанкционированному раскрытию конфиденциальной информации о расписании.
Эта уязвимость была исправлена в версиях: 2025.2.1.177 и 2026.1.1.20
Кредиты
Мы благодарим Роберта Стрзоду за ответственный отчет об уязвимости.
Больше информации о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.