CVE-2026-54105: U.S. GAO EPDS and CBCA EDS user information disclosure

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (cisa-cg). Не зависят от анализа CPE в NVD и обычно опережают его.

• Civilian Board of Contract Appeals Electronic Docketing System (EDS)

  • 2026-03-19не затронута
  • до 2026-03-19затронута

• Government Accountability Office Electronic Protest Docketing System (EPDS)

  • 2026-02-22не затронута
  • до 2026-02-22затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-54103U.S. GAO EPDS and CBCA EDS unauthenticated password change
  37Наблюдать
• CVE-2026-54104U.S. GAO EPDS and CBCA EDS client-based privilege escalation
  34Наблюдать
• CVE-2026-54106U.S. GAO EPDS and CBCA EDS network access control bypass
  20Наблюдать

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.