CVE-2026-7198

Obejście uwierzytelnienia w Progress Sitefinity — pełny dostęp bez logowania

CVSS 9.8v3.1pub. 2026-06-02upd. 2026-07-22

Podatność CWE-284 (Improper Access Control) w usługach webowych Progress Sitefinity umożliwia zdalnemu, nieuwierzytelnionemu atakującemu dostęp do chronionych zasobów bez żadnego uwierzytelnienia. Zagrożenie jest krytyczne, ponieważ skutkuje pełnym naruszeniem poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

CWE-284: Improper Access Control in web services in Progress Sitefinity 15.4.8623 before 15.4.8630 allows a remote unauthenticated attacker to access content that should be restricted, resulting in full compromise of confidentiality, integrity, and availability of affected installations.

🤖 Analiza AI

Jak działa

Mechanizm kontroli dostępu w usługach webowych Progress Sitefinity nie weryfikuje poprawnie tożsamości żądającego, co pozwala atakującemu na ominięcie wymaganego uwierzytelnienia. Atakujący może wysyłać żądania do chronionych punktów końcowych (web services) bezpośrednio przez sieć, bez podawania jakichkolwiek poświadczeń. Brak wymagania uwierzytelnienia (CVSS PR:N, UI:N) oznacza, że atak nie wymaga interakcji użytkownika ani posiadania konta w systemie.

Skutki

Atakujący uzyskuje pełny dostęp do treści i funkcji, które powinny być chronione, co skutkuje całkowitym naruszeniem poufności, integralności oraz dostępności zainstalowanego systemu. W praktyce może to oznaczać odczyt, modyfikację lub usunięcie danych, a także potencjalne przejęcie kontroli nad instalacją Sitefinity.

Mitygacja

Należy zaktualizować Progress Sitefinity do wersji 15.4.8630 lub nowszej. Szczegółowe instrukcje dostępne są w oficjalnym biuletynie bezpieczeństwa Progress dostępnym w referencjach producenta.

Kogo dotyczy

Progress Sitefinity w wersjach 15.4.8623 do 15.4.8629 (przed wersją 15.4.8630)

Uwagi

Podatność jest częścią zbiorczego biuletynu bezpieczeństwa Progress obejmującego kilka CVE (CVE-2026-7312, CVE-2026-7198, CVE-2026-7195, CVE-2026-7201, CVE-2026-7313) opublikowanego w maju 2026.