Уязвимость обхода авторизации CVE-2026-105411 в Tuleap Enterprise Edition

В начале 2026 года в корпоративной платформе для управления разработкой Tuleap Enterprise Edition была выявлена уязвимость, позволяющая обойти проверки авторизации. Проблема затрагивает механизм разграничения прав между трекерами — ключевым компонентом Tuleap, который используется для управления задачами, требованиями и другими рабочими элементами.

Подробности

Уязвимость получила идентификатор CVE-2026-105411 и классифицируется как Authorization Bypass Through User-Controlled Key (CWE-639). Затронуты версии Dassault Systèmes Tuleap Enterprise Edition с 17.0 по 17.5 включительно.

Суть проблемы заключается в том, что приложение не выполняет корректную проверку прав доступа при обработке ключа, значение которого контролируется пользователем. В результате атакующий, обладающий правами администратора хотя бы одного трекера, может выйти за пределы своей зоны ответственности и воздействовать на поля всех трекеров экземпляра — изменять их или удалять.

Уязвимости присвоен базовый балл CVSS 8.1, что соответствует высокому уровню критичности. Для эксплуатации требуется аутентификация с правами администратора трекера, однако последствия могут затронуть всю конфигурацию системы, включая трекеры, к которым у атакующего не должно быть доступа.

Что делать

Рекомендуется как можно скорее обновить Tuleap Enterprise Edition до версии, в которой уязвимость устранена (следует обратиться к официальным рекомендациям вендора Dassault Systèmes за точной информацией о патче).

Если немедленное обновление невозможно, целесообразно применить временные меры:

• пересмотреть и минимизировать число пользователей с правами администратора трекеров;
• включить дополнительный мониторинг и аудит изменений полей трекеров на предмет подозрительной активности;
• ограничить сетевой доступ к интерфейсу Tuleap, если это позволяет инфраструктура.

После установки обновления стоит проверить журналы на предмет возможной эксплуатации уязвимости до её закрытия.

Уязвимость CVE-2026-105411 демонстрирует, насколько важно строго проверять права доступа на стороне сервера, особенно когда ключи объектов поступают от пользователя. Высокий балл CVSS и широкий охват потенциального воздействия делают своевременное обновление Tuleap Enterprise Edition приоритетной задачей для администраторов.

Источник: CVE Project (cvelistV5)