CVE-2026-109114: обход аутентификации в AdithyaYelloju Restaurant-Management-System

В открытом репозитории AdithyaYelloju Restaurant-Management-System выявлена уязвимость, связанная с некорректной реализацией механизма аутентификации. Проблема получила идентификатор CVE-2026-109114, информация о ней опубликована в базе CVE Project (cvelistV5). Опасность усугубляется тем, что эксплойт уже находится в открытом доступе, а сопровождение проекта использует модель rolling releases, из-за чего точные номера затронутых и исправленных версий не публикуются.

Подробности

Уязвимость затрагивает компонент Login Form — файл User/login.php. Воздействие оказывается на неопределённый участок кода, отвечающий за обработку параметров email и passwd. Манипулируя этими аргументами, атакующий способен обойти проверку подлинности и получить доступ к системе без действительных учётных данных, что классифицируется как improper authentication (неправильная аутентификация).

Согласно описанию, атака может быть выполнена удалённо, то есть без физического доступа к инфраструктуре и без предварительной локальной позиции в сети. Уязвимость присутствует во всех сборках проекта вплоть до коммита 7f0e7e84255e8fcfd488e83f8f91451bbbff6b9c. Уровень опасности по шкале CVSS — 6.9 (MEDIUM).

Стоит отметить, что разработчики были заранее уведомлены о проблеме через issue-репорт, однако на момент публикации записи так и не отреагировали. Публичное раскрытие эксплойта означает, что уязвимость может быть использована злоумышленниками в ближайшее время, поэтому игнорировать её не стоит даже при средней оценке CVSS.

Что делать

Поскольку официального патча нет, рекомендуются следующие меры:

• Ограничить сетевой доступ к интерфейсу User/login.php — например, закрыть его для внешних подключений через правила firewall или reverse proxy, оставив только доверенные IP-адреса.
• Разместить приложение за VPN или иным контуром контроля доступа, если оно используется в производственной среде.
• Провести аудит кода аутентификации самостоятельно: проверить обработку параметров email и passwd, устранить логические ошибки проверки учётных данных.
• Внедрить дополнительный слой аутентификации на уровне веб-сервера (HTTP Basic Auth, mTLS) как временную компенсирующую меру.
• Настроить журналирование и мониторинг попыток входа, чтобы своевременно выявлять подозрительную активность.
• Следить за обновлениями репозитория проекта и оперативно применять исправления, как только они появятся.

Итог. CVE-2026-109114 — это уязвимость обхода аутентификации в AdithyaYelloju Restaurant-Management-System, эксплуатация которой возможна удалённо и уже имеет публичный эксплойт. Официального исправления на данный момент нет, поэтому организациям, использующим этот продукт, следует незамедлительно применить компенсирующие меры: изолировать форму входа от внешней сети и усилить контроль доступа до выхода патча.

Источник: CVE Project (cvelistV5)