CVE-2026-115998: IDOR: User reads and modifies findings from other people's projects

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Grayback). Не зависят от анализа CPE в NVD и обычно опережают его.

• CervantesSec cervantes

  • v.1.4.0-betaне затронута
  • alpha 0.3 и новее · до 1.3-beta включительнозатронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-115975Broken access control in JiraController
  28Наблюдать
• CVE-2026-115993Stored XSS in the “Notes” field of project checklists
  27Наблюдать
• CVE-2026-115994BOLA Allows Cross-Project Target Tampering
  21Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2024-4205428 июл. 2024 г. · Cervantes through 0.5-alpha accepts insecure file uploads.
  21Наблюдать
• ← РаньшеCVE-2024-4205528 июл. 2024 г. · Cervantes through 0.5-alpha allows stored XSS.
  21Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.