Към съдържанието
Търсене

CVE-2026-42300: l3montree-dev devguard, заобикаляне на вход и права

9.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

DevGuard provides vulnerability management for the full software supply chain. Prior to 1.2.2, the SessionMiddleware accepts a client-supplied X-Admin-Token HTTP request header and uses its raw string value as the authenticated userID when no Kratos session cookie is present. An unauthenticated attacker who knows or can guess a target user's Kratos identity UUID can issue requests as that user. Where the target user is an organisation admin or owner, this gives the attacker full control over that organisation's DevGuard resources. This vulnerability is fixed in 1.2.2.

Засегнати продукти

  • l3montree-dev devguard: < 1.2.2

Вид слабост

История

  • 12 май 2026 Публикувано

Други уязвимости в l3montree-dev devguard

Първоизточници

CVE-2026-42300: l3montree-dev devguard, заобикаляне на вход и права | freedomonline.bg