Критическая IDOR-уязвимость в Tankuam Places от Kompini (CVE-2026-93556)

В продукте Tankuam Places, разработанном компанией Kompini, выявлена критическая уязвимость класса IDOR (Insecure Direct Object Reference — небезопасные прямые ссылки на объекты). Проблема получила идентификатор CVE-2026-93556 и оценку CVSS 9.3, что соответствует критическому уровню опасности. Уязвимость позволяет неаутентифицированному злоумышленнику полностью захватить контроль над произвольными учётными записями, включая административные.

Подробности

Уязвимость затрагивает продукт Kompini Tankuam Places. Проблема сосредоточена в эндпоинте «/password/guardarClau/recover», который принимает параметр «usuariId», определяющий учётную запись, для которой выполняется смена пароля. Ключевая ошибка заключается в том, что JWT-токен, выданный для процесса восстановления пароля, не проверяется на соответствие пользователю, указанному в параметре «usuariId». В результате атакующий, не проходящий аутентификацию, может манипулировать значением идентификатора и инициировать сброс пароля для любой учётной записи в системе — включая административные. Успешная эксплуатация даёт злоумышленнику полный контроль над целевым аккаунтом и, в случае административных привилегий, потенциально над всей системой. Согласно вектору CVSS, уязвимость не требует аутентификации и не требует взаимодействия с пользователем, что делает её особенно опасной для публично доступных развёртываний Tankuam Places. На момент публикации записи CVE информация об официальном патче в исходных данных не приводится.

Что делать

До выпуска официального обновления рекомендуется применить компенсирующие меры:

• Ограничить сетевой доступ к эндпоинту «/password/guardarClau/recover» — закрыть его на периметре или разрешить обращения только из доверенных сетей.
• Внедрить на стороне приложения строгую проверку соответствия JWT-токена восстановления и параметра «usuariId»: токен должен быть привязан к конкретному пользователю и не допускать подмены идентификатора.
• Организовать мониторинг и логирование обращений к эндпоинту восстановления пароля, обращая внимание на аномалии и запросы с изменяющимся «usuariId».
• Провести аудит учётных записей и принудительную ротацию паролей, особенно для административных аккаунтов, если есть подозрения на эксплуатацию.
• Следить за официальными каналами Kompini и обновить продукт до версии с исправлением, как только оно станет доступно.

Итог: CVE-2026-93556 — критическая IDOR-уязвимость в Tankuam Places, позволяющая без аутентификации сбросить пароль любого пользователя, включая администраторов. До выхода патча необходимо ограничить доступ к уязвимому эндпоинту и внедрить серверную проверку привязки токена к пользователю.

Источник: CVE Project (cvelistV5)