CVE-2026-117472 in Psono
Zusammenfassung
von VulDB • 27.10.2026
In Psono Server CE und EE in den Versionen 4.0.33 bis 7.2.3 wurde der Anforderungspfad für den Endpunkt „bulk-secret-read“ mit einem fest codierten, nicht vorangestellten Pfad verglichen. In Bereitstellungen, die mit URL_PREFIX konfiguriert sind, schlug dieser Vergleich fehl und die POST-Anfrage wurde fälschlicherweise mit dem Schreibzugriff (write scope) anstelle des Lesezugriffs (read scope) autorisiert. Ein authentifizierter Remoteangreifer mit einem ungewöhnlichen API-Schlüssel, der nur Leseberechtigungen deaktiviert und Schreibberechtigungen aktiviert hat, konnte daher verschlüsselte Geheimdaten und Nonces über den vorangestellten Endpunkt „bulk-secret-read“ abrufen, obwohl keine Leseberechtigung vorhanden war. Die Standardkonfiguration ohne URL_PREFIX war nicht betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.