CVE-2026-114248: отсутствие аутентификации в Insurance-Management-System
В dhikshitha29 Insurance-Management-System обнаружена уязвимость отсутствия аутентификации в форме управления планами. Атаку можно провести удалённо, эксплойт уже опубликован. Критичность — средняя (CVSS 6.9).
Введение
Исследователи сообщили об уязвимости в открытом проекте dhikshitha29 Insurance-Management-System — системе управления страховыми продуктами. Проблема затрагивает компонент Plan Management Form и связана с отсутствием проверки аутентификации при обработке запросов. Информация об уязвимости опубликована публично, что повышает риск её активного использования.Подробности
Уязвимость получила идентификатор CVE-2026-114248 и оценку CVSS 6.9 (MEDIUM). Проблема локализована в файле/Admin/includes/AddNewPlan-inc.php компонента Plan Management Form. При манипуляции аргументами submit, Plan_no и Name обработчик не выполняет проверку подлинности пользователя, что позволяет неаутентифицированному злоумышленнику инициировать операции с планами страхования. Атака возможна удалённо, без физического доступа к системе.
Затронуты сборки проекта с идентификаторами 91de5edda5baa109ad8e9baf03ce6a3ceda84183 и 125362cc21dca20d74091a4913a5096bb58dd837. Проект использует модель rolling release, поэтому конкретные номера версий для уязвимых и исправленных сборок не приводятся. Эксплойт раскрыт публично и может быть применён на практике. Разработчики были уведомлены о проблеме через issue-репорт, однако на момент публикации записи ответа не последовало.
Что делать
Поскольку официальное исправление на момент публикации отсутствует, рекомендуется принять компенсирующие меры:- Ограничить сетевой доступ к каталогу
/Admin/и, в частности, к файлуAddNewPlan-inc.php— например, средствами веб-сервера или WAF, разрешив обращения только из доверенных сегментов сети. - Внедрить проверку аутентификации и авторизации на уровне промежуточного ПО (reverse proxy, API-gateway) перед обработчиками административных форм.
- Ограничить доступ к административной панели по IP-адресам или через VPN.
- Включить журналирование и мониторинг обращений к административным эндпоинтам для выявления подозрительной активности.
- Следить за обновлениями репозитория проекта и оперативно применять патч после его выпуска.
Итог
CVE-2026-114248 представляет собой уязвимость отсутствия аутентификации в административной форме управления планами Insurance-Management-System. При средней оценке CVSS и наличии публичного эксплойта риск для инсталляций, доступных из интернета, остаётся значимым. До выпуска официального исправления основной защитой становится ограничение доступа к административным эндпоинтам и дополнительный контроль аутентификации на периметре.Источник: CVE Project (cvelistV5)