CVE-2026-92754: обход контроля доступа в PatrowlManager раскрывает список пользователей
В PatrowlManager до версии 1.8.4 включительно обнаружена уязвимость неправильного контроля доступа в API-эндпоинте списка пользователей. Из-за закомментированного декоратора авторизации любой аутентифицированный пользователь с низкими привилегиями может перечислить все учётные записи и увидеть их привилегированные флаги. Уязвимость оценена как средняя (CVSS 5.3).
Подробности
Уязвимости подвержены все версии PatrowlManager вплоть до 1.8.4 включительно. Продукт разработан компанией Patrowl. Суть проблемы — неправильный контроль доступа (Improper Access Control, CWE-284) в API-эндпоинте листинга пользователей. В коде эндпоинта декоратор авторизации оказался закомментирован, из-за чего проверка прав доступа фактически не выполняется. Эксплуатация не требует особой подготовки: атакующему достаточно иметь аутентифицированную учётную запись с низкими привилегиями. Обратившись к уязвимому эндпоинту, он может перечислить всех пользователей системы и получить значения их привилегированных флагов, включая статус superuser и staff. Это создаёт основу для дальнейшей разведки: злоумышленник узнаёт, какие учётные записи обладают повышенными правами, и может целенаправленно выбирать их в качестве цели для атак методом подбора паролей, социальной инженерии или эксплуатации других уязвимостей. Уязвимости присвоена базовая оценка CVSS 5.3, что соответствует среднему уровню опасности. Несмотря на умеренную оценку, утечка сведений о привилегированных пользователях заметно упрощает построение атак на инфраструктуру.Что делать
Основная рекомендация — обновить PatrowlManager до версии, в которой устранена проблема. Следите за официальными релизами проекта и информацией от производителя: после 1.8.4 должна выйти исправленная сборка. Если обновление пока невозможно, примените компенсирующие меры: - Ограничьте сетевой доступ к API PatrowlManager, оставив его только для доверенных сегментов и административных хостов. - Проверьте конфигурацию прав: убедитесь, что учётные записи с низкими привилегиями не имеют лишнего доступа к административным эндпоинтам. - Включите журналирование и мониторинг обращений к API листинга пользователей, чтобы обнаруживать подозрительное перечисление аккаунтов. - Пересмотрите состав пользователей с флагами superuser и staff, сократив их число до необходимого минимума. Также рекомендуется провести аудит кода на предмет других эндпоинтов с отключёнными или закомментированными проверками авторизации — такая ошибка часто носит системный характер. Итог: CVE-2026-92754 — умеренная по оценке, но практически значимая уязвимость. Раскрытие списка пользователей и их привилегий даёт атакующему ценные сведения для дальнейших атак, поэтому обновление PatrowlManager и ограничение доступа к API следует выполнить в приоритетном порядке.Источник: CVE Project (cvelistV5)