CVE-2026-115998: IDOR в Cervantes позволяет читать и менять чужие findings
В Cervantes v1.3-beta обнаружена уязвимость типа IDOR (CVSS 4.3, MEDIUM). Аутентифицированный злоумышленник может просматривать чувствительные данные чужих проектов и изменять статусы findings, а также переносить их в свои проекты. Затрагивает конфиденциальность и целостность данных клиентов.
Подробности
Уязвимость затрагивает Cervantes версии v1.3-beta. Из-за некорректной проверки прав доступа при обращении к объектам системы аутентифицированный пользователь может получить доступ к данным проектов, в которых он не состоит. Под угрозой оказываются чувствительные сведения: результаты findings, детали proof-of-concept, учётные данные и информация о клиентах. Помимо чтения, атакующий способен изменять статусы findings и переносить их в собственные проекты. Таким образом, эксплуатация уязвимости приводит к компрометации как конфиденциальности, так и целостности данных. Вектор атаки требует наличия действующей учётной записи, что несколько ограничивает круг потенциальных злоумышленников, однако в условиях многопользовательской платформы с клиентскими проектами риск остаётся значимым.Что делать
Рекомендуется в первую очередь обновиться до версии Cervantes, в которой устранена описанная проблема: производителю следует проверить наличие патча или более позднего релиза. Если обновление пока недоступно, целесообразно временно ограничить круг пользователей с доступом к платформе, провести ревизию ролей и прав, а также усилить мониторинг обращений к объектам findings и проектов на предмет аномальной активности. Дополнительно стоит проверить журналы на признаки несанкционированного чтения или изменения данных и при выявлении подозрительных действий — уведомить затронутых клиентов. В качестве общей меры профилактики рекомендуется внедрить практику регулярной проверки авторизации на уровне объектов (object-level authorization) при разработке и тестировании подобных систем. Итог: CVE-2026-115998 — типичный пример IDOR, напоминающий о важности серверной проверки прав на каждый объект, а не только на уровне интерфейса. Для пользователей Cervantes v1.3-beta ключевая мера — оперативное обновление и временное ужесточение контроля доступа.Источник: CVE Project (cvelistV5)