CVE-2026-100878: обход авторизации в StarTraining через SysUser.isAdmin

В системе управления обучением StarTraining (проект zhistaredu) выявлена уязвимость, связанная с недостаточной проверкой прав доступа. Проблема получила идентификатор CVE-2026-100878 и оценку CVSS 5.3 (MEDIUM). Опасность усугубляется тем, что публичный эксплойт уже доступен, а производитель не ответил на обращение исследователя.

Подробности

Уязвимости подвержены версии StarTraining вплоть до 3.8.1 включительно. Уязвимая логика сосредоточена в функции SysUser.isAdmin, описанной в файле edu-common/src/main/java/com/edu/common/core/domain/entity/SysUser.java. Функция относится к компоненту authRole Endpoint, отвечающему за работу с ролями и полномочиями пользователей. Суть проблемы — обход авторизации (authorization bypass). При манипуляции аргументами userId и roleIds злоумышленник может повлиять на результат проверки прав, в том числе на определение статуса администратора. Атака выполняется удалённо, что расширяет круг потенциальных атакующих и не требует физического или локального доступа к системе. Поскольку эксплойт опубликован в открытом доступе, вероятность его практического применения в реальных атаках оценивается как высокая. Производитель был заблаговременно уведомлён об уязвимости, однако не предоставил ответа и не выпустил исправление. Это означает, что на момент публикации официального патча не существует.

Что делать

Поскольку официальное обновление отсутствует, организациям, использующим StarTraining, следует рассмотреть следующие меры:

• По возможности ограничить сетевой доступ к административным и ролевым эндпоинтам, оставив их только для доверенных сегментов сети или внутренних IP-адресов.
• Внедрить дополнительный контроль прав на уровне reverse-proxy, WAF или API-gateway, проверяя принадлежность пользователя к административным ролям независимо от логики приложения.
• Организовать мониторинг и логирование обращений к authRole Endpoint и операций с userId/roleIds, чтобы своевременно выявлять подозрительную активность.
• Провести аудит учётных записей и ролей, убедившись в отсутствии избыточных привилегий.
• Следить за обновлениями проекта zhistaredu и оперативно устанавливать исправление после его выпуска.

Итог

CVE-2026-100878 — это уязвимость обхода авторизации средней критичности в StarTraining до версии 3.8.1. Она позволяет удалённо манипулировать проверкой прав через аргументы userId и roleIds, а наличие публичного эксплойта и отсутствие ответа вендора делают риск вполне реальным. До выхода официального патча рекомендуется применять компенсирующие меры: сегментацию доступа, дополнительный контроль прав и мониторинг.

Источник: CVE Project (cvelistV5)