CVE-2025-60306

Auth Bypass w Simple Car Rental System — przejęcie sesji wysokich uprawnień

CVSS 9.9v3.1pub. 2025-10-10upd. 2026-07-05

Simple Car Rental System 1.0 zawiera podatność umożliwiającą użytkownikom o niskich uprawnieniach sfałszowanie sesji wysokich uprawnień. Błąd pozwala na nieautoryzowane wykonywanie wrażliwych operacji administracyjnych.

▸ Pokaż oryginał (EN)

code-projects Simple Car Rental System 1.0 has a permission bypass issue where low privilege users can forge high privilege sessions and perform sensitive operations.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej kontroli dostępu (CWE-284) oraz niewystarczającej weryfikacji tożsamości (CWE-287). Zalogowany użytkownik o niskich uprawnieniach może sfałszować dane sesji tak, aby system potraktował go jako użytkownika z wysokimi uprawnieniami. Po pomyślnym obejściu mechanizmu autoryzacji atakujący uzyskuje możliwość wykonywania operacji zarezerwowanych dla administratorów.

Skutki

Atakujący z dostępem do konta o niskich uprawnieniach może uzyskać pełną kontrolę nad aplikacją, wykonując dowolne wrażliwe operacje administracyjne — co może prowadzić do naruszenia poufności, integralności i dostępności systemu (CVSS C:H/I:H/A:H).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do aplikacji wyłącznie do zaufanych użytkowników oraz wdrożenie dodatkowej walidacji uprawnień po stronie serwera.