CVE-2025-40552

SolarWinds Web Help Desk — pominięcie uwierzytelnienia (Auth Bypass)

CVSS 9.8v3.1pub. 2026-01-28upd. 2026-02-26

W aplikacji SolarWinds Web Help Desk wykryto krytyczną podatność typu authentication bypass, umożliwiającą nieuwierzytelnionemu atakującemu wykonanie akcji i metod chronionych mechanizmem uwierzytelnienia. Podatność otrzymała ocenę CVSS 9.8, co czyni ją jednym z najpoważniejszych zagrożeń dla środowisk korzystających z tego produktu.

▸ Pokaż oryginał (EN)

SolarWinds Web Help Desk was found to be susceptible to an authentication bypass vulnerability that if exploited, would allow a malicious actor to execute actions and methods that should be protected by authentication.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-1390 (Weak Authentication) polega na niedostatecznej weryfikacji tożsamości użytkownika przed wykonaniem chronionych operacji w aplikacji. Atakujący zdalnie, bez posiadania jakichkolwiek poświadczeń, może wysłać spreparowane żądania do endpointów aplikacji i ominąć mechanizmy uwierzytelnienia. Dzięki temu uzyskuje dostęp do funkcji i metod, które powinny być dostępne wyłącznie dla zalogowanych i autoryzowanych użytkowników. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani szczególnych warunków wstępnych.

Skutki

Atakujący może wykonywać dowolne chronione akcje i metody aplikacji bez uwierzytelnienia, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych, modyfikacji konfiguracji lub zakłócenia dostępności usługi.

Mitygacja

Należy zaktualizować SolarWinds Web Help Desk do wersji 2026.1 lub nowszej zgodnie z informacjami w notatkach wydania producenta oraz zaleceniami opublikowanymi w centrum bezpieczeństwa SolarWinds pod adresem wskazanym w referencjach.

Kogo dotyczy

SolarWinds Web Help Desk — wersje wskazane w referencjach producenta (patche dostępne w wydaniu WHD 2026.1)

Uwagi

W referencjach dostępny jest publiczny kod proof-of-concept opublikowany przez watchTowr Labs w repozytorium GitHub, co istotnie podnosi ryzyko wykorzystania podatności w praktyce.