CVE-2026-105096: обход авторизации в Omega Solution CoinEx Crypto

В начале 2026 года в публичном реестре CVE была зафиксирована уязвимость CVE-2026-105096, затрагивающая продукт Omega Solution CoinEx Crypto версии 2025. Проблема относится к классу обхода авторизации и позволяет злоумышленнику получить доступ к функциям, которые должны быть доступны только аутентифицированным пользователям.

Подробности

Уязвимость затрагивает компонент Customer Profile API и связана с обработкой файла /customer/. По данным описания CVE, неизвестная функция этого компонента некорректно обрабатывает аргумент ID: манипулируя им, атакующий может обойти проверку прав доступа. Это классический сценарий IDOR-подобной уязвимости (небезопасная прямая ссылка на объект), при котором отсутствие полноценной серверной проверки принадлежности объекта пользователю позволяет обращаться к чужим данным или операциям.

Атака может быть проведена удалённо, без необходимости физического доступа к системе или предварительной аутентификации в ряде сценариев. Эксплойт был публично раскрыт, что повышает риск его практического применения — злоумышленникам не требуется разрабатывать собственный инструментарий.

По шкале CVSS уязвимости присвоен балл 5.3, что соответствует среднему уровню опасности. Такой рейтинг отражает умеренное влияние на конфиденциальность и целостность данных при относительно невысокой сложности эксплуатации.

Важной особенностью данной записи является статус самого продукта: официальный веб-сайт Omega Solution CoinEx Crypto более не существует. В описании CVE указано, что продукт, вероятно, снят с поддержки или заменён. Вендор был заблаговременно уведомлён о раскрытии уязвимости, но не ответил ни на одно обращение. Это означает, что официального патча от производителя, скорее всего, не будет.

Что делать

Поскольку вендор не отвечает и не выпускает обновлений, организациям и пользователям, у которых всё ещё развёрнут Omega Solution CoinEx Crypto 2025, следует рассмотреть следующие меры:

• Провести инвентаризацию и выявить все экземпляры продукта в инфраструктуре.
• По возможности вывести решение из эксплуатации или заменить его на поддерживаемый аналог — это наиболее надёжный способ устранения риска, учитывая отсутствие патча.
• Если отказ от продукта невозможен, изолировать его от внешних сетей, ограничить доступ по IP-адресам и разместить за аутентифицирующим прокси или WAF.
• Внедрить дополнительную проверку прав на уровне API-шлюза: блокировать запросы к /customer/ с изменёнными или чужими идентификаторами.
• Организовать мониторинг журналов доступа к Customer Profile API на предмет аномальных обращений с перебором параметра ID.

Итог: CVE-2026-105096 — умеренно опасная, но уже публично эксплуатируемая уязвимость обхода авторизации в неподдерживаемом продукте. Ключевая проблема здесь не только в самой уязвимости, но и в отсутствии вендорской поддержки: рассчитывать на официальное исправление не стоит, поэтому основная ответственность за защиту ложится на владельцев инфраструктуры. Наиболее разумный шаг — миграция на поддерживаемое решение, а до её завершения — изоляция и дополнительный контроль доступа.

Источник: CVE Project (cvelistV5)