CVE-2026-90517: обход авторизации в PHPGurukul Bank Locker Management System
Введение
В системе управления банковскими ячейками PHPGurukul Bank Locker Management System 1.0 выявлена уязвимость, позволяющая обойти механизм авторизации. Проблема затрагивает обработку параметра ltid в файле /blms/view-assign-locker.php. Поскольку эксплойт уже опубликован публично, риск практического использования уязвимости существенно возрастает.
Подробности
Уязвимость получила идентификатор CVE-2026-90517 и оценку 6.9 (MEDIUM) по шкале CVSS. Затронута версия PHPGurukul Bank Locker Management System 1.0.
Проблема относится к классу обхода авторизации (authorization bypass). При манипуляции значением аргумента ltid в запросе к файлу /blms/view-assign-locker.php злоумышленник может получить доступ к функциям или данным, которые должны быть доступны только авторизованным пользователям с соответствующими правами.
Согласно описанию, атака может быть инициирована удалённо, то есть не требует физического доступа к системе или предварительной локальной аутентификации. Дополнительным фактором риска является то, что эксплойт находится в открытом доступе и может быть использован злоумышленниками без значительной подготовки.
На момент публикации записи CVE производитель не выпустил официального патча. Точная функция, затронутая в файле, в описании не раскрывается.
Что делать
Поскольку официальное обновление на момент публикации отсутствует, рекомендуется принять компенсирующие меры:
- Ограничить сетевой доступ к файлу
/blms/view-assign-locker.phpи в целом к административным разделам системы — например, средствами веб-сервера, WAF или правил межсетевого экрана. - Не размещать систему управления банковскими ячейками в открытом сегменте интернета; использовать VPN или внутреннюю сеть.
- Внедрить строгую серверную проверку прав доступа для всех запросов, обрабатывающих параметр
ltid, чтобы исключить возможность подмены идентификатора. - Организовать мониторинг обращений к уязвимому эндпоинту и анализ подозрительной активности.
- Следить за обновлениями от разработчика PHPGurukul и установить патч сразу после его выпуска.
Итог
CVE-2026-90517 — это уязвимость обхода авторизации средней степени опасности, затрагивающая PHPGurukul Bank Locker Management System 1.0. Возможность удалённой эксплуатации и наличие публичного эксплойта делают эту проблему актуальной для организаций, использующих данную систему. До выхода официального патча следует ограничить доступ к уязвимому компоненту и усилить контроль прав доступа.
Источник: CVE Project (cvelistV5)