CVE-2026-25660

Podatność (CWE-290, CWE-863) polega na nieprawidłowej weryfikacji tożsamości i autoryzacji przy określonych wywołaniach funkcji, gdy adres URL kończy się ciągiem związanym z procesem uwierzytelniania. Aplikacja błędnie traktuje takie żądanie jako autoryzowane, pomijając właściwą kontrolę dostępu. W efekcie osoba atakująca, bez posiadania jakichkolwiek poświadczeń, może wydawać żądania administracyjne dotyczące uprawnień użytkowników.

Atakujący może nadać dowolnemu użytkownikowi istniejącemu w systemie CodeChecker nieograniczone lub administracyjne uprawnienia, co w praktyce prowadzi do pełnego przejęcia kontroli nad instancją narzędzia oraz przechowywanymi w niej danymi o defektach kodu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (GitHub Security Advisory GHSA-4v9x-cqc5-j645). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji CodeChecker wyłącznie do zaufanych hostów oraz sieci wewnętrznych (firewall, VPN).

Ericsson CodeChecker we wszystkich wersjach do 6.27.3 włącznie.

Wektor CVSS 4.0 wskazuje na dostępność publicznego exploita (E:P) oraz potencjalnie katastrofalne skutki dla systemów zależnych (SC:H/SI:H/SA:H). Podatność dotyczy narzędzia klasy DevSecOps — kompromitacja może prowadzić do manipulacji wynikami analizy statycznej kodu i ukrywania defektów bezpieczeństwa w procesie CI/CD.