Уязвимость неправильной авторизации в Neethuharii CafeManagement (CVE-2026-96556)
В Neethuharii CafeManagement обнаружена уязвимость неправильной авторизации в функции addcashier файла AddCashierCode.php. Манипулируя аргументами uname/pass/role/status, удалённый атакующий может создавать учётные записи с произвольными привилегиями. Оценка CVSS — 6.9 (MEDIUM), эксплойт уже опубликован.
Подробности
Уязвимость локализована в функции addcashier файла AddCashierCode.php. При обработке запроса на добавление кассира приложение недостаточно строго проверяет права инициатора операции, а также позволяет манипулировать аргументами uname, pass, role и status. Это даёт возможность удалённому атакующему, не имеющему соответствующих полномочий, создавать новых пользователей и задавать им произвольные роли и статусы — в том числе с повышенными привилегиями. Согласно записи CVE, уязвимость классифицируется как improper authorization (неправильная авторизация). Базовая оценка CVSS составляет 6.9 (MEDIUM). Атака может выполняться удалённо, что расширяет круг потенциальных злоумышленников: для эксплуатации достаточно сетевого доступа к уязвимому компоненту. Отмечается, что эксплойт уже опубликован и может быть использован на практике. Разработчик (vendor) был заблаговременно уведомлён о проблеме, однако не ответил на обращение. Это означает, что на момент публикации официальное исправление может отсутствовать, а информация об уязвимости доступна широкой публике.Что делать
Поскольку вендор не отреагировал на disclosure, первоочередная мера — компенсирующие митигации: - Ограничьте сетевой доступ к Neethuharii CafeManagement: не публикуйте приложение в интернет без необходимости, используйте VPN, межсетевые экраны и списки разрешённых адресов. - Закройте доступ к файлу AddCashierCode.php и связанным административным эндпоинтам для неавторизованных пользователей на уровне веб-сервера или reverse-proxy. - Внедрите дополнительную проверку прав на стороне сервера (серверную авторизацию) перед выполнением операции addcashier, если есть возможность правки кода. - Включите журналирование и мониторинг операций создания пользователей и изменения ролей: аномальная активность может указывать на попытку эксплуатации. - Отслеживайте обновления от разработчика Neethuharii CafeManagement и установите патч сразу после его выпуска. - При отсутствии поддержки со стороны вендора рассмотрите миграцию на поддерживаемое решение либо изоляцию системы в сегментированной сети. Итог: CVE-2026-96556 — умеренно опасная, но уже имеющая публичный эксплойт уязвимость неправильной авторизации, позволяющая удалённо создавать привилегированных пользователей. Ключевые шаги — ограничение доступа к приложению, серверная проверка прав и мониторинг. До выпуска официального патча полагаться на митигации обязательно.Источник: CVE Project (cvelistV5)