SysReptor: Read-write access to personal notes by sharing-link creation with no authorization in SysReptor Professional

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• Syslifters sysreptor

  • >= 2026.4, < 2026.27затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-81180SysReptor: Authenticated RCE by insecure image processing
  35Наблюдать
• CVE-2024-36076Cross-Site WebSocket Hijacking in SysReptor from version 2024.28 to version 2024.30 causes attackers to escalate privileges and obtain sensi
  35Наблюдать
• CVE-2026-81179SysReptor: Host header injection might allow account takeover
  32Наблюдать
• CVE-2025-59945SysReptor Susceptible to Privilege Escalation by Authenticated Users
  32Наблюдать
• CVE-2025-66561SysReptor Vulnerable to an Authenticated Stored Cross-Site Scripting (XSS)
  21Наблюдать
• CVE-2026-81182SysReptor: Unauthorized file disclosure by broken access control in writable shared notes
  16Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.