CVE-2026-5652

IDOR w Crafty Controller — nieautoryzowana modyfikacja kont użytkowników

CVSS 9.0v3.1pub. 2026-04-21upd. 2026-04-27

Podatność typu Insecure Direct Object Reference (IDOR) w komponencie Users API aplikacji Crafty Controller umożliwia zdalnemu, uwierzytelnionemu atakującemu wykonywanie nieautoryzowanych operacji modyfikacji użytkowników. Błąd został oceniony jako krytyczny z wynikiem CVSS 9.0.

▸ Pokaż oryginał (EN)

An insecure direct object reference vulnerability in the Users API component of Crafty Controller allows a remote, authenticated attacker to perform user modification actions via improper API permissions validation.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji uprawnień w API zarządzania użytkownikami. Atakujący posiadający konto w systemie może wysyłać żądania API bezpośrednio odwołujące się do obiektów (kont użytkowników) innych niż te, do których powinien mieć dostęp. Brak właściwej kontroli autoryzacji po stronie serwera pozwala na ominięcie ograniczeń wynikających z przypisanej roli i wykonanie operacji modyfikacji na dowolnym koncie użytkownika.

Skutki

Atakujący może zmodyfikować dane innych użytkowników systemu, w tym potencjalnie konta administratorów, co może prowadzić do przejęcia kontroli nad systemem, eskalacji uprawnień lub naruszenia integralności i poufności zarządzanych zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://gitlab.com/crafty-controller/crafty-4/-/work_items/705). Zaleca się ograniczenie dostępu do panelu administracyjnego wyłącznie do zaufanych sieci oraz regularny przegląd uprawnień kont użytkowników do czasu wdrożenia poprawki.