CVE-2026-101143: утечка данных в Eleveo Quality Management
В Eleveo Quality Management 9.7.0 обнаружена уязвимость информационного раскрытия через компонент QMBODownload. Эксплуатация возможна удалённо, а эксплойт уже опубликован. Уровень опасности — средний (CVSS 5.3).
Подробности
Уязвимость CVE-2026-101143 затрагивает Eleveo Quality Management версии 9.7.0. Проблема локализована в обработчике /qm/cz.zoom.scorecard.webui.Scorecard/cz.zoom.scorecard.webui.Scorecard/QMBODownload, отвечающем за скачивание файлов. Из-за недостаточной проверки прав доступа при манипуляции параметрами запроса злоумышленник может инициировать раскрытие информации (information disclosure). Согласно оценке CVSS, уязвимость имеет базовый балл 5.3, что соответствует среднему уровню критичности. Атака может быть выполнена удалённо и не требует предварительной аутентификации в интерфейсе, что повышает практическую ценность вектора для злоумышленников. Дополнительный риск создаёт тот факт, что эксплойт уже находится в открытом доступе и может быть использован широким кругом атакующих, в том числе низкоквалифицированных. Отдельного внимания заслуживает реакция производителя: по данным источника, вендор был заблаговременно уведомлён об уязвимости, однако не предоставил ответа и не выпустил официальных комментариев. Это означает, что на момент публикации патч может отсутствовать, и администраторам следует рассчитывать на собственные компенсирующие меры.Что делать
Поскольку официальное обновление от вендора не подтверждено, рекомендуется в первую очередь ограничить сетевой доступ к уязвимому компоненту: — Закрыть эндпоинт QMBODownload от внешних сетей, оставив доступ только для доверенных внутренних адресов. — Разместить Eleveo Quality Management за VPN или корпоративным шлюзом с обязательной аутентификацией. — Проверить журналы веб-сервера на предмет подозрительных обращений к пути /qm/cz.zoom.scorecard.webui.Scorecard/.../QMBODownload. — Ограничить права сервисного аккаунта, под которым работает приложение, чтобы снизить потенциальный ущерб при эксплуатации. — Отслеживать официальные каналы Eleveo и запросить у вендора статус исправления; при появлении патча — установить его незамедлительно. Дополнительно стоит провести аудит данных, доступных через QMBODownload: если через него выгружаются записи разговоров или персональные данные клиентов, последствия утечки могут выходить за рамки ИТ-инцидента и затрагивать требования регуляторов. Итог: уязвимость средней критичности с публично доступным эксплойтом и молчанием вендора. До выпуска патча безопасность Eleveo Quality Management 9.7.0 зависит от сетевых ограничений и мониторинга на стороне заказчика.Источник: CVE Project (cvelistV5)