MB connect line: Authorization bypass in mbCONNECT24/mymbCONNECT24

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (CERTVDE). Не зависят от анализа CPE в NVD и обычно опережают его.

• Helmholz myREX24

  • до 2.18.0затронута · semver
  • до 2.16.5затронута · semver

• Helmholz myREX24.virtual

  • до 2.18.0затронута · semver
  • до 2.16.5затронута · semver

• MB connect line mbCONNECT24

  • до 2.16.5затронута · semver

• MB connect line mymbCONNECT24

  • до 2.18.0затронута · semver
  • до 2.18.0затронута · semver
  • до 2.16.5затронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-23943MB connect line: Cloud API access due to a lack of authentication for a critical function
  36Наблюдать
• CVE-2026-14448Authenticated RCE in system_certificates view
  34Наблюдать
• CVE-2026-10521Authenticated unintended access to critical program parameters
  34Наблюдать
• CVE-2026-40850Unauthenticated SQLi in getAccountData function
  34Наблюдать
• CVE-2026-40819Unauthenticated SQLi in sync_data24 task
  34Наблюдать
• CVE-2026-40818Unauthenticated SQLi in _mb24confi_getDevice function function
  34Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.