CVE-2026-105097: обход авторизации в Omega Solution CoinEx Crypto
В Omega Solution CoinEx Crypto 2025 обнаружена уязвимость обхода авторизации в компоненте Customer Information API. Атака возможна удалённо, эксплойт уже опубликован в открытом доступе. Уровень критичности — средний (CVSS 5.3).
Подробности
Уязвимость получила идентификатор CVE-2026-105097 и оценку CVSS 5.3 (MEDIUM). Уязвимой признана версия Omega Solution CoinEx Crypto 2025. Проблема локализована в компоненте Customer Information API, а именно в обработке файла /customer-currency/. По данным описания, уязвимость затрагивает неизвестную функцию указанного эндпоинта: манипулирование аргументом ID приводит к обходу авторизации (authorization bypass). Это означает, что пользователь без достаточных прав может получить доступ к операциям или данным, которые должны быть ему недоступны. Эксплуатация возможна удалённо, что повышает практическую значимость угрозы. Более того, эксплойт уже находится в открытом доступе и может быть использован атакующими. Специфика уязвимости такова, что для атаки не требуется физический доступ к системе или предварительная аутентификация с высокими привилегиями — достаточно сетевого взаимодействия с уязвимым API. Отдельно стоит отметить: сайт продукта больше не работает. Вполне вероятно, что Omega Solution CoinEx Crypto снят с поддержки или заменён другим решением. Производитель был уведомлён об уязвимости на раннем этапе раскрытия, однако не ответил ни на одно обращение.Что делать
Поскольку вендор не отвечает, а продукт, судя по всему, выведен из эксплуатации, стандартный путь через выпуск патча маловероятен. Рекомендации в такой ситуации следующие: - Проверить, используется ли Omega Solution CoinEx Crypto 2025 в вашей инфраструктуре. Если да — рассмотреть возможность скорейшего вывода решения из эксплуатации и замены на поддерживаемый продукт. - Если отказ от продукта невозможен в короткие сроки, ограничить сетевой доступ к эндпоинту /customer-currency/ и компоненту Customer Information API на уровне межсетевого экрана, WAF или обратного прокси. - Внедрить дополнительную проверку прав на уровне приложений и сервисов, стоящих перед уязвимым API, чтобы компенсировать отсутствие корректной авторизации внутри продукта. - Усилить мониторинг обращений к указанному эндпоинту: попытки перебора или подмены параметра ID могут служить индикатором компрометации. - Отслеживать обновления в реестре CVE и у возможных правопреемников решения на случай появления официального исправления или уточнений.Итог
CVE-2026-105097 — показательный пример уязвимости в неподдерживаемом продукте: производитель не отвечает, сайт недоступен, а эксплойт уже опубликован. Обход авторизации в Customer Information API Omega Solution CoinEx Crypto 2025 даёт удалённому атакующему доступ к защищённой функциональности без должных прав. При средней оценке CVSS отсутствие патча и поддержки со стороны вендора существенно повышают реальные риски. Организациям, использующим это решение, следует как можно быстрее рассмотреть его замену либо изолировать уязвимый компонент и компенсировать проблему на периметре.Источник: CVE Project (cvelistV5)