CVE-2026-90499: некорректная авторизация в lenve vhr при обновлении пароля
В lenve vhr 1.0-SNAPSHOT обнаружена уязвимость неправильной авторизации в обработчике HrInfoController.updatePass. Манипулируя параметром hrid, удалённый атакующий может изменить пароль произвольного пользователя. Уязвимости присвоен уровень MEDIUM (CVSS 5.3), эксплойт уже опубликован.
Подробности
Уязвимость затрагивает lenve vhr версии 1.0-SNAPSHOT. Уязвимая функция — HrInfoController.updatePass, обрабатывающая запросы по пути /hr/pass в компоненте Password Update Handler. Причина проблемы в том, что при обработке запроса сервер не проверяет должным образом права инициатора операции: манипуляция аргументом hrid (идентификатор пользователя) приводит к нарушению авторизации, то есть позволяет выполнить смену пароля для учётной записи, не принадлежащей атакующему. Атака может быть выполнена удалённо и не требует физического доступа к системе. Эксплойт опубликован в открытом доступе, что существенно повышает риск практического использования уязвимости. Оценка по CVSS 3.x составляет 5.3 (MEDIUM). Производитель был заблаговременно уведомлён об обнаружении проблемы, однако не ответил на обращение, поэтому исправление на момент публикации записи CVE отсутствует.Что делать
Поскольку вендор не выпустил патч, рекомендуются компенсирующие меры: - Ограничить сетевой доступ к эндпоинту /hr/pass: не публиковать сервис в интернет, закрыть его на уровне reverse proxy, WAF или межсетевого экрана. - Ввести на уровне приложения или шлюза проверку того, что hrid в запросе совпадает с идентификатором аутентифицированного пользователя (либо что у инициатора есть явные административные права на смену пароля другого сотрудника). - Включить обязательную проверку текущего пароля или иного второго фактора перед сменой пароля. - Настроить журналирование и алертинг по обращениям к /hr/pass, чтобы фиксировать попытки подмены hrid и аномальную активность. - Рассмотреть переход на поддерживаемую альтернативу или форк с самостоятельным устранением дефекта авторизации, если продукт критичен для бизнеса. Если обновление всё же появится, его следует установить в приоритетном порядке. Итог: CVE-2026-90499 — умеренная по критичности, но легко эксплуатируемая удалённо уязвимость авторизации в lenve vhr 1.0-SNAPSHOT. Публичный эксплойт и молчание вендора делают своевременные митигации единственной защитой, поэтому ограничьте доступ к уязвимому эндпоинту и добавьте серверные проверки прав.Источник: CVE Project (cvelistV5)