WEBCON BPS软件中的漏洞
CVE ID
CVE-2026-92419
发布日期
2026年9月23日
供应商
WEBCON
产品
WEBCON BPS
受影响版本
从2024.1.1.145到2025.2.1.177 从2026.1.1.1到2026.1.1.20
漏洞类型 (CWE)
通过用户控制的密钥绕过授权 (CWE-639)
报告来源
报告给CERT Polska
描述
CERT Polska已收到关于WEBCON BPS软件漏洞的报告，并参与了其披露的协调。
漏洞CVE-2026-92419：WEBCON BPS在/api/vacations/{path}端点存在不安全的直接对象引用（IDOR）漏洞。Gantt假期图表API中的selectedPeople参数未验证请求用户是否有权访问请求用户的数据。经过身份验证的攻击者可以在selectedPeople参数中提供任意用户登录信息，以查看其他员工的假期安排，包括来自其他办公室的经理和员工，无论业务逻辑访问限制如何，从而导致敏感调度信息的未经授权披露。
该漏洞已在以下版本中修复：2025.2.1.177和2026.1.1.20
致谢
感谢Robert Strzoda负责的漏洞报告。
有关CERT Polska协调漏洞披露过程的更多信息，请访问https://cert.pl/en/cvd/。