Dell NetWorker, version(s) 19.10, contain(s) an Authorization Bypass Through User-Controlled Key vulnerability.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• dell networkerдо 19.10.0.6
• dell networker19.11 и новее · до 19.11.0.3

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (dell). Не зависят от анализа CPE в NVD и обычно опережают его.

• Dell NetWorker

  • 19.11 и новее · до 19.11.0.2 включительнозатронута · semver
  • N/A и новее · до 19.10.0.6затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-25539 Dell NetWorker 19.6.1.2, contains an OS command injection Vulnerability in the NetWorker client.
  39Наблюдать
• CVE-2023-28055 Dell NetWorker, Version 19.7 has an improper authorization vulnerability in the NetWorker client.
  35Наблюдать
• CVE-2025-21103Dell NetWorker Management Console, version(s) 19.11 through 19.11.0.3 & Versions prior to 19.10.0.7 contain(s) an improper neutralization of
  31Наблюдать
• CVE-2025-21107Dell NetWorker, version(s) prior to 19.11.0.3, all versions of 19.10 & prior versions contain(s) an Unquoted Search Path or Element vulnerab
  31Наблюдать
• CVE-2025-36582Dell NetWorker, versions 19.12.0.1 and prior, contains a Selection of Less-Secure Algorithm During Negotiation ('Algorithm Downgrade') vulne
  30Наблюдать
• CVE-2025-21104Dell NetWorker, versions prior to 19.11.0.4 and version 19.12, contains an URL Redirection to Untrusted Site ('Open Redirect') Vulnerability
  26Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.